Polityka prywatności

1. Administrator danych i kontakt

Administratorem Twoich danych osobowych jest spółka prowadząca biuro rachunkowe Steers — pełna nazwa, siedziba, numer KRS, NIP i REGON są wskazane w stopce strony oraz w ramce na końcu tego dokumentu.

We wszystkich sprawach dotyczących przetwarzania danych osobowych i realizacji praw opisanych w punkcie 9 możesz napisać na adres e-mail biura albo listownie na adres siedziby.

Nie powołaliśmy inspektora ochrony danych — nie mamy takiego obowiązku na gruncie art. 37 RODO. Sprawami ochrony danych zajmuje się bezpośrednio zarząd biura.

2. Zakres dokumentu

Polityka opisuje przetwarzanie danych w trzech obszarach: strony internetowej steers.com.pl, panelu klienta (platformy Steers) oraz bieżącej obsługi księgowej i kadrowo-płacowej naszych klientów.

Osobne, skrócone informacje dla klientów, kontrahentów i kandydatów do pracy znajdziesz w klauzuli informacyjnej RODO. Zasady stosowania plików cookie opisuje Polityka cookies. Zasady korzystania ze strony i panelu opisuje Regulamin.

3. Kategorie przetwarzanych danych

Zbieramy wyłącznie dane, które są nam niezbędne do przygotowania oferty, zawarcia umowy i jej wykonania. Nie kupujemy baz danych i nie pozyskujemy danych ze źródeł, o których byś nie wiedział — poza publicznymi rejestrami (KRS, CEIDG, biała lista podatników VAT, CRBR), z których korzystamy przy weryfikacji kontrahentów.

• Formularz kontaktowy i zapytanie ofertowe: imię i nazwisko lub nazwa firmy, adres e-mail, numer telefonu, wybrany pakiet z cennika, forma prawna i skala działalności, treść wiadomości, język korzystania ze strony.
• Panel klienta — dane logowania i dane techniczne konta: adres e-mail, zaszyfrowany skrót hasła, rola w organizacji klienta, data i adres IP logowania, historia operacji w panelu (kto i kiedy wgrał lub zatwierdził dokument).
• Panel klienta — treść dokumentów księgowych: faktury sprzedaży i zakupu, paragony, wyciągi bankowe, raporty kasowe i raporty z kas fiskalnych, umowy, protokoły, dokumenty magazynowe i inwentaryzacyjne wraz ze skanami i zdjęciami wykonanymi w aplikacji.
• Dane pracowników, zleceniobiorców i kontrahentów naszych klientów, zawarte w dokumentach kadrowo-płacowych: dane identyfikacyjne i adresowe, PESEL, numery rachunków bankowych, dane o wynagrodzeniach, czasie pracy, urlopach, nieobecnościach i zwolnieniach lekarskich, dane członków rodziny zgłaszanych do ubezpieczenia. W tym zakresie działamy jako podmiot przetwarzający — patrz punkt 5.
• Dane z integracji uruchamianych na wniosek klienta: systemy sprzedaży POS i gastronomiczne, systemy HR i rejestracji czasu pracy, platformy e-commerce i marketplace, dostawcy usług dostaw, wyciągi bankowe pobierane automatycznie. Zakres każdej integracji ustalamy z klientem przed jej uruchomieniem i ograniczamy do danych potrzebnych do rozliczeń.
• Korespondencja: wiadomości e-mail, rozmowy w czacie panelu (pytania księgowej do konkretnego dokumentu), notatki ze spotkań z księgową, zgłoszenia serwisowe.
• Dane zbierane na potrzeby przeciwdziałania praniu pieniędzy: dokumenty i informacje wskazane w Polityce AML, w tym dane beneficjentów rzeczywistych i informacje o zajmowaniu eksponowanego stanowiska politycznego.
• Dane techniczne: adres IP, typ i wersja przeglądarki, system operacyjny, data i godzina zapytania, zapisywane w logach serwera oraz w logach bezpieczeństwa panelu.

4. Cele i podstawy prawne przetwarzania

Każdy cel ma własną podstawę prawną. Podstawy wskazujemy zgodnie z rozporządzeniem 2016/679 (RODO).

• Odpowiedź na zapytanie z formularza, przygotowanie wyceny i innych czynności zmierzających do zawarcia umowy — art. 6 ust. 1 lit. b RODO.
• Kontakt handlowy na podstawie dobrowolnej zgody, w tym przypomnienie o przygotowanej ofercie — art. 6 ust. 1 lit. a RODO. Zgodę możesz wycofać w każdej chwili, bez wpływu na zgodność z prawem wcześniejszego przetwarzania.
• Świadczenie usług księgowych, kadrowo-płacowych i doradczych oraz prowadzenie konta w panelu klienta — art. 6 ust. 1 lit. b RODO.
• Wypełnienie obowiązków prawnych ciążących na biurze i na naszych klientach, w szczególności wynikających z ustawy o rachunkowości, ordynacji podatkowej, ustaw o podatkach dochodowych i o podatku od towarów i usług, przepisów o ubezpieczeniach społecznych i o pracowniczych planach kapitałowych oraz ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu — art. 6 ust. 1 lit. c RODO.
• Przetwarzanie danych szczególnych kategorii w dokumentacji kadrowej (np. informacji o stanie zdrowia wynikających ze zwolnień lekarskich lub orzeczeń o niepełnosprawności) — art. 9 ust. 2 lit. b RODO w związku z przepisami prawa pracy i ubezpieczeń społecznych.
• Zapewnienie bezpieczeństwa strony i panelu, wykrywanie nadużyć, prowadzenie logów dostępu i kopii zapasowych — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes polegający na ochronie powierzonych nam danych).
• Ustalenie, dochodzenie i obrona roszczeń, w tym rozpatrywanie reklamacji, oraz kontakt z ubezpieczycielem w ramach obowiązkowego ubezpieczenia odpowiedzialności cywilnej — art. 6 ust. 1 lit. f RODO.
• Bieżący kontakt z osobami wskazanymi przez klienta jako osoby kontaktowe (właściciel, kadrowa, kierownik lokalu) — art. 6 ust. 1 lit. f RODO, przy czym administratorem danych pierwotnie pozostaje nasz klient.
• Pomiar ruchu na stronie w Google Analytics 4 — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes polegający na sprawdzaniu, które treści są przydatne i skąd trafiają do nas zapytania). Narzędzie działa u nas w trybie bez plików cookie. Możesz wnieść sprzeciw wobec tego przetwarzania albo wyłączyć pomiar — sposób opisujemy w Polityce cookies.

5. Kiedy jesteśmy administratorem, a kiedy podmiotem przetwarzającym

Administratorem jesteśmy wobec danych osób, które kontaktują się z nami przez stronę, danych naszych klientów i osób ich reprezentujących, danych naszych kontrahentów oraz danych zbieranych na potrzeby obowiązków AML.

Podmiotem przetwarzającym w rozumieniu art. 28 RODO jesteśmy wobec danych pracowników, zleceniobiorców, kontrahentów i klientów naszego klienta, które trafiają do nas w dokumentach i w integracjach. Administratorem tych danych pozostaje klient, a my przetwarzamy je wyłącznie na jego udokumentowane polecenie, na podstawie umowy powierzenia stanowiącej załącznik do umowy o świadczenie usług księgowych.

Wyjątkiem są sytuacje, w których przepisy prawa nakładają obowiązki wprost na biuro rachunkowe — wtedy wobec tych samych danych działamy jako odrębny administrator (dotyczy to przede wszystkim dokumentacji AML i archiwizacji dowodów wykonania usługi).

6. Odbiorcy danych

Danych nie sprzedajemy i nie udostępniamy w celach marketingowych. Przekazujemy je wyłącznie tam, gdzie jest to konieczne do wykonania usługi lub wymagane przepisami — podwykonawcom zawsze na podstawie umów powierzenia przetwarzania i po sprawdzeniu, czy dają gwarancje wymagane przez art. 28 ust. 1 RODO.

• Dostawca hostingu i infrastruktury serwerowej z centrami danych na terenie Europejskiego Obszaru Gospodarczego, na której działa strona, panel klienta i kopie zapasowe.
• Dostawca poczty elektronicznej i narzędzi do pracy biurowej.
• Dostawcy oprogramowania księgowego, kadrowo-płacowego i do wysyłki deklaracji, w tym systemy do obsługi e-Deklaracji i JPK.
• Podwykonawcy biura: księgowi i kadrowi współpracujący na zasadzie B2B, obsługa IT, archiwizacja i niszczenie dokumentów.
• Operatorzy integracji uruchamianych na wniosek klienta — systemy POS, HR, e-commerce i dostawcy usług bankowych, w zakresie danych pobieranych do rozliczeń.
• Organy i instytucje publiczne, gdy przekazanie danych wynika z przepisów: urzędy skarbowe, Krajowa Administracja Skarbowa i Krajowy System e-Faktur (KSeF), ZUS, GUS, PFR w zakresie PPK, Generalny Inspektor Informacji Finansowej w zakresie obowiązków AML, sądy i organy ścigania.
• Banki i instytucje płatnicze — w zakresie przelewów i wyciągów realizowanych na zlecenie klienta.
• Kancelarie prawne, biegli rewidenci i ubezpieczyciel — jeżeli sprawa tego wymaga.
• Komunikator, przez który biuro otrzymuje powiadomienie o nowym zgłoszeniu ze strony; powiadomienie zawiera dane podane w formularzu.
• Google Ireland Limited — dostawca Google Analytics 4, którym mierzymy ruch na stronie. Otrzymuje dane o wizytach wymienione w Polityce cookies; nie przekazujemy mu danych z formularza ani dokumentów klientów.

7. Przekazywanie danych poza Europejski Obszar Gospodarczy

Co do zasady dane pozostają w Europejskim Obszarze Gospodarczym — infrastrukturę i kopie zapasowe utrzymujemy u dostawców z centrami danych w EOG.

Jeżeli konkretna usługa pomocnicza wiąże się z przetwarzaniem danych poza EOG (dotyczy to narzędzi komunikacyjnych oraz pomiaru ruchu na stronie), odbywa się to na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską lub decyzji stwierdzającej odpowiedni stopień ochrony, wraz z oceną skutków takiego transferu. Na wniosek udostępniamy informację o zastosowanych zabezpieczeniach.

Nie przekazujemy poza EOG dokumentów księgowych ani dokumentacji kadrowej klientów.

8. Okresy przechowywania

Dane usuwamy lub anonimizujemy, gdy przestaje istnieć podstawa ich przetwarzania. Poniższe terminy liczymy w sposób wskazany w przepisach, do których się odwołują.

• Zapytania, które nie zakończyły się współpracą — do 12 miesięcy od ostatniego kontaktu; przy zgodzie marketingowej — do jej wycofania.
• Księgi rachunkowe, dowody księgowe i dokumentacja podatkowa — 5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku, zgodnie z ordynacją podatkową i ustawą o rachunkowości.
• Dokumentacja pracownicza prowadzona dla klientów — 10 lat od końca roku kalendarzowego, w którym ustał stosunek pracy, a dla zatrudnionych przed 1 stycznia 1999 r. — 50 lat.
• Dokumentacja i wyniki stosowania środków bezpieczeństwa finansowego oraz dowody transakcji na potrzeby AML — 5 lat licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze lub przeprowadzono transakcję okazjonalną.
• Umowy, korespondencja i dokumentacja rozliczeń z klientem — do upływu terminu przedawnienia roszczeń, co do zasady 3 lata dla roszczeń związanych z prowadzeniem działalności gospodarczej, a w sprawach podatkowych — do upływu terminu przedawnienia zobowiązania.
• Konto w panelu klienta i historia operacji — przez czas trwania umowy; po jej rozwiązaniu dane powierzone zwracamy lub usuwamy zgodnie z poleceniem klienta i umową powierzenia, z zastrzeżeniem dokumentów, które musimy zachować na podstawie przepisów.
• Logi serwera i logi bezpieczeństwa panelu — do 12 miesięcy.
• Kopie zapasowe — do 30 dni, po czym są nadpisywane; usunięcie danych z systemu produkcyjnego oznacza ich usunięcie z kopii najpóźniej po tym terminie.

9. Twoje prawa

W zakresie, w jakim jesteśmy administratorem Twoich danych, przysługuje Ci prawo do:

• dostępu do danych i otrzymania ich kopii (art. 15 RODO),
• sprostowania danych nieprawidłowych i uzupełnienia niekompletnych (art. 16 RODO),
• usunięcia danych, jeżeli nie mamy podstawy do dalszego ich przetwarzania (art. 17 RODO),
• ograniczenia przetwarzania (art. 18 RODO),
• przenoszenia danych przetwarzanych na podstawie zgody lub umowy (art. 20 RODO),
• sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (art. 21 RODO),
• wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania sprzed jej wycofania (art. 7 ust. 3 RODO),
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

10. Jak realizujemy wnioski

Wniosek możesz złożyć w dowolnej formie — najprościej e-mailem na adres biura. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca; w sprawach szczególnie skomplikowanych możemy przedłużyć ten termin o kolejne dwa miesiące, informując Cię o przyczynie.

Jeżeli Twoje dane trafiły do nas od naszego klienta — na przykład jako pracownika, zleceniobiorcy lub kontrahenta — wniosek kieruj do niego jako do administratora. My przekażemy mu sprawę i wykonamy jego polecenie w terminie wynikającym z umowy powierzenia.

Przed realizacją wniosku możemy poprosić o dodatkowe informacje pozwalające potwierdzić Twoją tożsamość. Nie chodzi o utrudnianie — chodzi o to, żeby nie wydać danych osobie nieuprawnionej.

11. Dobrowolność podania danych

Podanie danych w formularzu kontaktowym jest dobrowolne, ale bez adresu e-mail lub numeru telefonu nie odpowiemy na zapytanie. Pozostałe pola ułatwiają przygotowanie konkretnej wyceny.

Podanie danych wymaganych przepisami prawa podatkowego, o rachunkowości, prawa pracy i ubezpieczeń społecznych oraz przepisami AML jest obowiązkowe — bez nich nie możemy prowadzić ksiąg, rozliczeń ani nawiązać stosunków gospodarczych.

12. Bezpieczeństwo danych

• Dostęp do dokumentów i do panelu mają wyłącznie upoważnieni pracownicy i współpracownicy biura, w zakresie wynikającym z powierzonych zadań; każde upoważnienie jest ewidencjonowane.
• Osoby mające dostęp do danych są zobowiązane do zachowania tajemnicy, także po zakończeniu współpracy.
• Połączenia ze stroną i panelem są szyfrowane; panel klienta i panel biura to osobne aplikacje z osobnym uwierzytelnianiem i rozdzielonymi uprawnieniami.
• Operacje na dokumentach są rejestrowane — wiadomo, kto i kiedy wgrał, zmienił lub zatwierdził dokument.
• Wykonujemy regularne kopie zapasowe i testujemy odtwarzanie danych.
• Naruszenia ochrony danych zgłaszamy Prezesowi UODO w ciągu 72 godzin od stwierdzenia, a osobom, których dane dotyczą — jeżeli naruszenie może powodować wysokie ryzyko naruszenia ich praw. Klientów, dla których jesteśmy podmiotem przetwarzającym, informujemy niezwłocznie po stwierdzeniu naruszenia.

13. Profilowanie i zautomatyzowane decyzje

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały.

Dokumenty wgrywane do panelu są wstępnie odczytywane przez system (rozpoznawanie tekstu i wstępna dekretacja), ale każdy dokument przed zaksięgowaniem sprawdza księgowa. Ocena ryzyka klienta na potrzeby AML jest wspierana narzędziami, jednak decyzję zawsze podejmuje człowiek.

14. Pliki cookie

Strona zapisuje wyłącznie pliki cookie niezbędne do jej działania oraz cookie sesyjne panelu klienta. Ruch na stronie mierzymy w Google Analytics 4 w trybie bez plików cookie — narzędzie nie zapisuje na Twoim urządzeniu plików ani identyfikatorów. Nie stosujemy cookie marketingowych i nie udostępniamy danych sieciom reklamowym. Szczegóły, w tym zakres zbieranych danych i sposób wyłączenia pomiaru — w Polityce cookies.

15. Zmiany polityki

Jeżeli zmienimy zakres zbieranych danych, cele przetwarzania, listę odbiorców albo okresy przechowywania, zaktualizujemy ten dokument i datę ostatniej aktualizacji na jego początku.

O zmianach istotnie wpływających na prawa klientów informujemy dodatkowo w panelu klienta lub pocztą elektroniczną, z co najmniej 14-dniowym wyprzedzeniem.