Informacja o przetwarzaniu danych osobowych osób widocznych w serwisie firmy.ai

Ostatnia aktualizacja: 21 października 2026 r.

Niniejsza informacja jest skierowana do osób, których dane osobowe są prezentowane w serwisie firmy.ai — w szczególności członków zarządu, wspólników, akcjonariuszy, członków rad nadzorczych i prokurentów podmiotów wpisanych do Krajowego Rejestru Sądowego, beneficjentów rzeczywistych ujawnionych w CRBR oraz osób prowadzących jednoosobową działalność gospodarczą wpisaną do CEIDG.

Jeżeli jesteś użytkownikiem serwisu (odwiedzasz stronę, korzystasz z wyszukiwarki, posiadasz konto, zamawiasz raport albo próbkę listy, dodajesz opinię), zapoznaj się z polityką prywatności.

Co zmieniło się 21 października 2026 r.: od dnia uruchomienia monitoringu w serwisie użytkownik z abonamentem będzie mógł objąć monitoringiem osobę widoczną w serwisie i dostanie e-mail w dniu wykrycia, gdy w KRS zmieni się jej funkcja w spółce, z którą już ją łączymy, albo status, upadłość lub likwidacja takiej spółki (sekcje 4, 5, 7, 9 i 11); kupujący raport z listy firm może zamówić kolumnę „Zarząd według KRS” z imionami, nazwiskami i funkcjami członków zarządu spółek, tylko po oświadczeniu, że wykorzysta je do kontaktu służbowego z firmą, a na liście mogą się znaleźć jednoosobowe działalności gospodarcze z nazwą, NIP, REGON, PKD, miejscowością i statusem oraz, jeśli kupujący je wybierze, ze statusem VAT, wpisami w rejestrze zadłużonych i przetargami wygranymi (sekcje 4, 7, 9 i 11); użytkownicy mogą dodawać opinie o firmach, także o jednoosobowych działalnościach gospodarczych, a imiona i nazwiska osób w opiniach zastępujemy przy publikacji (sekcje 2–4, 6–9, 11 i 12); opisaliśmy raporty płatne w nowej wersji: jakie dane o osobach zbieramy do raportu, skąd, gdzie i jak długo je przechowujemy oraz co zmienia sprzeciw (sekcje 2, 4, 6, 7, 8, 9 i 11); do tabeli źródeł dopisaliśmy Krajowy Rejestr Zadłużonych (sekcja 2); wiersz „Zamówienia publiczne” na stronach i w raporcie opiera się teraz na ogłoszeniach z BZP i z TED (sekcja 2). Wcześniej, 20 października 2026 r.: wiersz „Zamówienia publiczne” na stronach opierał się wyłącznie na ogłoszeniach z BZP; ogłoszenia z TED czytaliśmy i przechowywaliśmy, ale nie pokazywaliśmy ich ani nie liczyliśmy, także w raporcie (sekcja 2). Wcześniej, 19 października 2026 r.: listy sankcyjne UE i MSWiA porównujemy co noc z osobami i podmiotami w naszej bazie, a OpenSanctions służy już tylko do sprawdzenia PEP w płatnym raporcie (sekcje 2, 5, 7 i 9); ogłoszenia o wyniku postępowania z BZP i TED czytamy co noc i łączymy z podmiotami wyłącznie po numerze NIP (sekcje 2 i 9). Stripe, który przyjmuje płatność za raport płatny jednorazowo, dostaje też imię i nazwisko albo nazwę firmy, której dotyczy raport, i przetwarza je na nasze zlecenie (sekcje 7 i 8). Wcześniej, 18 października 2026 r.: strona jednoosobowej działalności gospodarczej nie pokazuje już kodu pocztowego ani obywatelstwa, a zalogowany użytkownik z abonamentem może wygenerować jej opis AI ze źródeł w sieci (sekcje 2, 6–9 i 11). Wcześniej, 15 października 2026 r.: na stronie osoby, w panelu „Jesteś tą osobą?”, poprawisz błąd i pobierzesz kopię swoich danych (PDF e-mailem), po potwierdzeniu numerem PESEL; dopisaliśmy, jak długo przechowujemy te zgłoszenia (sekcja 9). Wcześniej, 17 września 2026 r., dodaliśmy sekcję o profilowaniu, tabelę źródeł z zakresem danych pobieranych i publikowanych, opis tego, co zostaje po sprzeciwie, informację o ograniczeniu list sankcyjnych do sankcji i PEP oraz nową zasadę dostępu do danych z CRBR: tylko dla zalogowanych użytkowników po wskazaniu celu.

1. Kto jest administratorem Twoich danych?

Administratorem Twoich danych osobowych jest Wondel.ai sp. z o.o. z siedzibą w Warszawie, ul. Twarda 18, 00-105 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0001029516.

Adres e-mail do spraw prywatności: prywatnosc@firmy.ai.

2. Skąd mamy Twoje dane?

Twoje dane nie zostały pozyskane bezpośrednio od Ciebie. Przetwarzamy dane pochodzące z publicznie dostępnych źródeł, a w przypadku opinii — z treści, które piszą użytkownicy serwisu. Poniższa tabela pokazuje, skąd pobieramy dane, w jakim zakresie i co z tego publikujemy.

Dane pochodzą z dokumentów i informacji jawnych udostępnianych w ramach tych źródeł.

Dlaczego informujemy Cię w ten sposób?

RODO nakazuje poinformować osobę, której dane pozyskano z innego źródła, chyba że wymagałoby to niewspółmiernie dużego wysiłku (art. 14 ust. 5 lit. b RODO). Nie mamy Twoich danych kontaktowych: rejestry, z których korzystamy, nie udostępniają nam adresu e-mail ani numeru telefonu, a z CEIDG i REGON celowo ich nie pobieramy. Serwis obejmuje wszystkie osoby ujawnione w KRS i CRBR oraz przedsiębiorców z CEIDG, więc indywidualne powiadomienie każdej z nich nie jest wykonalne. Dlatego udostępniamy tę informację publicznie: na tej stronie, przez odnośnik „RODO" w stopce każdej strony serwisu, w sekcji „Dlaczego widzisz te informacje" na każdej stronie osoby, na stronie każdej działalności gospodarczej oraz w raportach.

3. Jakie kategorie danych przetwarzamy?

Kategorie przetwarzanych danych mogą obejmować:

• imię i nazwisko,
• pełnione funkcje i role w podmiotach gospodarczych (np. członek zarządu, prokurent, członek rady nadzorczej),
• informacje o udziałach, akcjach i powiązaniach kapitałowych,
• informacje o statusie beneficjenta rzeczywistego ujawnione w CRBR (rodzaj i wielkość uprawnień, obywatelstwo, kraj zamieszkania),
• w przypadku osób prowadzących jednoosobową działalność gospodarczą — dane ujawnione w CEIDG w zakresie opisanym w tabeli w sekcji 2,
• treść opinii o jednoosobowej działalności gospodarczej, którą prowadzisz, i jej oceny; imiona i nazwiska wymienione w opiniach usuwamy przy publikacji,
• informacje o obecności na publicznych listach sankcyjnych lub listach osób zajmujących eksponowane stanowiska polityczne (PEP), wraz ze wskazaniem źródłowych list,
• publicznie dostępne dane zawodowe (np. stanowisko, historia zawodowa, wykształcenie, umiejętności, odnośniki do publicznych profili zawodowych),
• informacje o statusie aktualnym lub historycznym relacji z podmiotem oraz daty objęcia lub zakończenia funkcji albo relacji,
• dane identyfikujące podmiot gospodarczy, z którym jesteś powiązany(-a), takie jak nazwa, KRS, NIP, siedziba,
• datę urodzenia oraz numer PESEL — wyłącznie w zakresie opisanym poniżej,
• dane wywnioskowane automatycznie, które nie pochodzą wprost ze źródła, lecz powstają w serwisie: prawdopodobne dopasowania (działalność gospodarcza, profil zawodowy, listy sankcyjne i PEP), sieć powiązań, oceny i wyceny spółek oraz biogramy generowane przez AI (sekcje 5 i 6).

W treści stron i raportów pokazujemy tylko rok urodzenia. Pełną datę urodzenia przetwarzamy, aby odróżniać osoby o tym samym imieniu i nazwisku: przy łączeniu wpisów z rejestrów, w zapytaniach do list sankcyjnych, do publicznych profili zawodowych i do wyszukiwarki stron, z których powstaje biogram (sekcja 5). Historyczne adresy profili zawierają nazwę i pełną datę urodzenia. Nowy format adresu używa losowego identyfikatora profilu; zmiana adresu nie usuwa wcześniejszych kopii ani nie zmienia zakresu publikowanych danych.

Nie publikujemy numerów PESEL. Numer PESEL przetwarzamy wyłącznie technicznie: gdy jest ujawniony w publicznym rejestrze (np. CRBR) — w celu prawidłowego powiązania rekordów dotyczących tej samej osoby, przy weryfikacji tożsamości osoby, która ze swojej strony zgłasza sprzeciw, prosi o sprostowanie albo o kopię swoich danych (numeru po porównaniu nie zapisujemy), oraz gdy użytkownik użyje go jako kryterium wyszukiwania. Numer PESEL nie jest udostępniany użytkownikom serwisu.

Nie przetwarzamy celowo szczególnych kategorii danych (art. 9 RODO) ani danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO). Zapytania do OpenSanctions ograniczamy do list sankcyjnych i list PEP, a model generujący biogram ma polecenie pominąć stan zdrowia, poglądy polityczne, wyznanie, pochodzenie, orientację seksualną, sprawy karne i życie rodzinne, nawet jeśli piszą o nich cytowane strony. Jeżeli mimo to znajdziesz takie informacje w serwisie, napisz do nas — usuniemy je.

4. W jakim celu i na jakiej podstawie prawnej przetwarzamy dane?

Przetwarzamy dane w celu:

1. prowadzenia serwisu umożliwiającego wyszukiwanie i prezentowanie informacji o podmiotach gospodarczych oraz osobach pełniących funkcje, posiadających udziały lub występujących w jawnych rejestrach,
2. prezentowania aktualnych i historycznych powiązań gospodarczych,
3. prezentowania informacji o obecności na publicznych listach sankcyjnych i listach PEP — jako elementu należytej staranności przy weryfikacji kontrahentów; status PEP sam w sobie nie jest zarzutem,
4. uzupełniania strony osoby o publicznie dostępne dane zawodowe i biogram, aby kontrahent widział doświadczenie osób zarządzających spółką w jednym miejscu,
5. przygotowania raportu płatnego o podmiocie albo osobie na zamówienie użytkownika: zebrania w dniu zamówienia danych z rejestrów i źródeł opisanych w sekcji 2, ich analizy przez model AI i dostarczenia raportu kupującemu,
6. umożliwienia wyszukania osoby po numerze PESEL użytkownikowi, który zna ten numer z dokumentu (np. umowy lub odpisu KRS) i chce jednoznacznie ustalić, o którą osobę chodzi — wynik nie ujawnia numeru PESEL,
7. informowania użytkowników, którzy obserwują dany podmiot lub osobę, o zmianach danych rejestrowych (cotygodniowe podsumowania),
8. zapewnienia integralności, aktualności i bezpieczeństwa danych w serwisie,
9. rozpatrywania zgłoszeń dotyczących sprostowania, sprzeciwu, ograniczenia przetwarzania lub usunięcia danych, utrzymania skutków uwzględnionego sprzeciwu oraz wykrywania nadużyć formularza sprzeciwu (np. prób usunięcia cudzej strony),
10. dochodzenia lub obrony roszczeń,
11. informowania użytkowników z abonamentem, którzy objęli monitoringiem osobę albo spółkę, o zmianach w KRS w dniu ich wykrycia: o nowych i zakończonych funkcjach osoby w spółkach, z którymi już ją łączymy, oraz o statusie, upadłości i likwidacji tych spółek,
12. udostępniania kupującym raport z listy firm imion, nazwisk i funkcji członków zarządu spółek według KRS (gdy zamówią kolumnę „Zarząd według KRS” i oświadczą, że wykorzystają te dane wyłącznie do kontaktu służbowego z firmą) oraz podstawowych danych jednoosobowych działalności gospodarczych (nazwa, NIP, REGON, PKD, miejscowość, status oraz, gdy kupujący je wybierze, status VAT, wpisy w rejestrze zadłużonych i przetargi wygrane), gdy kupujący włączy je w kreatorze,
13. publikowania opinii użytkowników o firmach i jednoosobowych działalnościach gospodarczych, ich moderowania oraz rozpatrywania zgłoszeń i odwołań.

Podstawą prawną przetwarzania jest art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes administratora, polegający na:

• prowadzeniu serwisu informacyjnego o jawnych powiązaniach gospodarczych,
• umożliwieniu użytkownikom wyszukiwania i weryfikowania danych pochodzących z publicznych rejestrów i źródeł,
• zwiększaniu przejrzystości i bezpieczeństwa obrotu gospodarczego, w tym wspieraniu należytej staranności przy weryfikacji kontrahentów (listy sankcyjne i PEP, beneficjenci rzeczywiści),
• zapewnieniu jakości i bezpieczeństwa działania serwisu, w tym ochronie przed nadużyciem mechanizmu sprzeciwu.

Zakres publikacji opisany w sekcji 2 (np. rok zamiast daty urodzenia, brak pełnego adresu, CRBR tylko po wskazaniu celu) wynika z wyważenia naszego interesu z Twoimi prawami i wolnościami. Na Twoje żądanie wyjaśnimy, jak to wyważenie wygląda w odniesieniu do Twoich danych.

Jawność danych, które prezentujemy, wynika wprost z ustaw tworzących rejestry: rejestr przedsiębiorców KRS jest jawny (art. 8 ust. 1 ustawy z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym), dane udostępniane przez CEIDG są jawne i każdy ma do nich dostęp (art. 45 ust. 1 ustawy z dnia 6 marca 2018 r. o Centralnej Ewidencji i Informacji o Działalności Gospodarczej i Punkcie Informacji dla Przedsiębiorcy), rejestr REGON jest jawny (art. 45 ust. 1 ustawy z dnia 29 czerwca 1995 r. o statystyce publicznej), a Centralny Rejestr Beneficjentów Rzeczywistych jest jawny (art. 67 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu). Publikujemy dane w zakresie, w jakim udostępnia je rejestr, a tam, gdzie rejestr ujawnia więcej, niż potrzebuje czytelnik, ograniczamy zakres (rok zamiast daty urodzenia, miejscowość i województwo zamiast pełnego adresu przedsiębiorcy, brak numerów PESEL).

Dane beneficjentów rzeczywistych (CRBR) traktujemy ostrożniej niż pozostałe. Trybunał Sprawiedliwości UE w wyrokach C-37/20 i C-601/20 uznał, że nieograniczony publiczny dostęp do rejestrów beneficjentów zbyt głęboko ingeruje w prywatność. Dlatego, choć polski rejestr pozostaje jawny, dane z CRBR pokazujemy wyłącznie zalogowanym użytkownikom, którzy wskazali cel dostępu z zamkniętej listy (np. weryfikacja kontrahenta, obowiązki instytucji obowiązanej, postępowanie sądowe, działalność dziennikarska lub naukowa, własne sprawy) i oświadczyli, że wykorzystają dane tylko w tym celu. Przechowujemy aktualną deklarację wraz z datą i skrótem adresu IP — zmiana celu nadpisuje poprzednią. Dzięki temu możemy wykazać, na jakiej podstawie użytkownik ma dostęp do tych danych. Anonimowi odwiedzający i roboty internetowe nie widzą danych z CRBR.

Kolumnę „Zarząd według KRS” w raporcie z listy firm udostępniamy tylko dla spółek i tylko w zakresie, w jakim KRS jawnie ujawnia te dane (imię, nazwisko, funkcja), kupującemu, który oświadczył, że wykorzysta je wyłącznie do kontaktu służbowego z firmą i jako nowy administrator poinformuje Cię o tym (art. 14 RODO). Oświadczenie zapisujemy z zamówieniem. Raport z listy nie zawiera Twojego adresu, numeru PESEL, adresu e-mail ani numeru telefonu.

Publikację opinii opieramy na art. 6 ust. 1 lit. f RODO (informowanie innych o doświadczeniach z firmą). Obsługę zgłoszeń dotyczących opinii, uzasadnianie decyzji i rozpatrywanie odwołań prowadzimy w wykonaniu obowiązku prawnego (art. 6 ust. 1 lit. c RODO w związku z art. 16 i 17 DSA).

Obsługę zgłoszeń i utrzymanie skutków sprzeciwu prowadzimy także w wykonaniu obowiązku prawnego (art. 6 ust. 1 lit. c RODO w związku z art. 12–22 RODO).

5. Profilowanie

Profilowanie w rozumieniu RODO to zautomatyzowana analiza danych osobowych, która ocenia lub przewiduje cechy osoby. W serwisie zachodzi ono w następujących miejscach:

• Łączenie wpisów o tej samej osobie. Wpisy z różnych podmiotów w KRS oraz wpisy z CRBR łączymy w jedną stronę osoby na podstawie imienia, nazwiska i daty urodzenia, a gdy rejestr go ujawnia — numeru PESEL. Tak powstaje strona osoby i sieć jej powiązań.
• Wskazanie prawdopodobnej działalności gospodarczej. Dla osoby z KRS wskazujemy wpisy w CEIDG na to samo imię i nazwisko. CEIDG nie podaje daty urodzenia ani numeru PESEL, więc dopasowanie opiera się na zbieżności adresu i branży. Najbardziej prawdopodobny wpis oznaczamy słowem „najpewniej", pozostałe jako „możliwe". Możesz potwierdzić lub odrzucić dopasowanie, podając numer PESEL zgodny z danymi rejestrowymi; odrzucone dopasowanie znika, potwierdzone jest oznaczane jako potwierdzone przez właściciela.
• Sprawdzenie w listach sankcyjnych. Co noc porównujemy w naszej bazie imię, nazwisko i pełną datę urodzenia osób z wpisami na liście sankcji UE i liście MSWiA. Na stronie osoby pokazujemy tylko „możliwe dopasowanie” po imieniu, nazwisku i pełnej dacie urodzenia, z odnośnikiem do listy i drogą poprawienia błędu; dopasowanie po samym imieniu i nazwisku nie trafia na stronę. Każde takie oznaczenie wymaga samodzielnej weryfikacji przez czytelnika — mówimy to przy oznaczeniu i w raportach.
• Sprawdzenie w listach PEP. W płatnym raporcie porównujemy imię, nazwisko, datę urodzenia i kraj z wpisami w OpenSanctions. Dopasowanie jest probabilistyczne; pokazujemy tylko trafienia, które dostawca ocenił powyżej progu dopasowania, i tylko z list PEP. Takie oznaczenie również wymaga samodzielnej weryfikacji przez czytelnika.
• Dopasowanie publicznego profilu zawodowego. Profil z People Data Labs dopasowujemy po imieniu, nazwisku, dacie urodzenia (o ile ją znamy) i nazwie powiązanej firmy, ograniczając wyszukiwanie do Polski. Pokazujemy go tylko wtedy, gdy dopasowanie przekracza nasz próg pewności.
• Treści generowane przez AI. Biogram osoby powstaje na podstawie stron WWW znalezionych w Exa, a oceny i wyceny spółek na podstawie danych rejestrowych i finansowych (sekcja 6).
• Monitoring. Gdy użytkownik z abonamentem obejmie Cię monitoringiem, codziennie porównujemy w KRS Twoje funkcje w spółkach, z którymi już Cię łączymy, i stan tych spółek ze stanem z poprzedniego sprawdzenia; o zmianie użytkownik dostaje e-mail. Monitoring nie ocenia Cię i nie przewiduje Twoich cech; obejmuje tylko KRS.

Na podstawie tych dopasowań nie podejmujemy żadnej decyzji wobec Ciebie (sekcja 12), a regulamin zakazuje użytkownikom wykorzystywania ich do decyzji o kredycie, zatrudnieniu i innych zastosowań z załącznika III do AI Act. Każde dopasowanie jest oznaczone jako automatyczne i może być błędne; nieprawidłowe dopasowanie poprawimy lub usuniemy na Twoje zgłoszenie (art. 16 RODO). Możesz wnieść sprzeciw wobec profilowania (sekcja 11). Sprzeciw zgłoszony formularzem z weryfikacją PESEL usuwa całą stronę osoby; jeśli chcesz usunąć tylko jeden element, na przykład biogram albo dopasowany profil zawodowy, napisz do nas.

6. Treści generowane przez sztuczną inteligencję

W serwisie mogą pojawiać się treści automatycznie generowane przez modele sztucznej inteligencji (np. biogramy, analizy firm, scoring, wyceny). Treści te mogą zawierać odniesienia do osób widocznych w serwisie w kontekście ich funkcji w podmiotach gospodarczych. Pełny wykaz systemów AI, ich przeznaczenia i ograniczeń znajdziesz na stronie Jak używamy AI.

Treści generowane przez AI mają charakter wyłącznie pomocniczy i informacyjny. Nie stanowią samodzielnej, zweryfikowanej oceny osoby i nie powinny być za taką traktowane. Treści takie są w serwisie oznaczane jako pochodzące od AI — widocznym opisem przy treści oraz oznaczeniem maszynowo odczytywalnym, zgodnie z art. 50 rozporządzenia (UE) 2024/1689 (AI Act).

Biogram osoby ogranicza się do jej roli zawodowej i gospodarczej. Model ma polecenie przypisywać osobie wyłącznie fakty, które jednoznacznie jej dotyczą, pomijać informacje o innych osobach o tym samym nazwisku oraz pomijać dane szczególne i życie prywatne (sekcja 3). Każdy istotny fakt w biogramie ma odnośnik do strony, z której pochodzi, żebyś mógł(-a) sprawdzić źródło.

W raporcie płatnym model AI pisze wnioski na podstawie danych zebranych z rejestrów w dniu zamówienia i wyszukuje w sieci wzmianki o podmiocie raportu. Fakty z rejestrów pokazujemy w raporcie osobno od wniosków, a każde twierdzenie ze strony WWW ma odnośnik do źródła. Model ma te same ograniczenia co przy biogramie: pomija stan zdrowia, poglądy polityczne, wyznanie, pochodzenie, orientację seksualną, sprawy karne i życie rodzinne osób fizycznych.

Opis jednoosobowej działalności gospodarczej (strona /NIP/…) powstaje przy wizycie zalogowanego użytkownika z abonamentem, nie przy wizycie robota wyszukiwarki ani innego odwiedzającego. Zapytanie do modelu zawiera nazwę z CEIDG (która zwykle zawiera imię i nazwisko przedsiębiorcy), numer NIP i miejscowość; nie zawiera adresu ani numeru KRS. Model ma polecenie opisywać wyłącznie działalność, nie osobę, która ją prowadzi. Opis opiera się na co najmniej dwóch różnych źródłach spoza firmy.ai, jest oznaczony jako „podsumowanie AI” z datą i nie zawiera odnośników do stron osób w firmy.ai: strona działalności łączy się ze stroną osoby tylko wtedy, gdy ta osoba sama potwierdziła numerem PESEL, że to jej działalność. Przyciski „Usuń opis” i „Zgłoś sprzeciw” przy opisie prowadzą do sekcji 11.

Przed publikacją opinii model AI uruchamiany w infrastrukturze Cloudflare (Workers AI) wskazuje w jej treści imiona i nazwiska osób oraz informacje należące do szczególnych kategorii danych (np. o zdrowiu albo życiu rodzinnym). Imiona i nazwiska zastępujemy oznaczeniem „[usunięte nazwisko]”, a opinii z danymi szczególnymi nie publikujemy, dopóki autor ich nie usunie. Model nie ocenia osoby i nie decyduje o zgłoszeniach.

Nie wykorzystujemy AI do oceny zdolności kredytowej osób fizycznych, decyzji o zatrudnieniu ani do innych zastosowań wymienionych w załączniku III do AI Act, a regulamin zakazuje takiego wykorzystania wyników serwisu przez użytkowników.

Jeżeli uważasz, że treść wygenerowana przez AI jest nieprawidłowa, zgłoś to na adres prywatnosc@firmy.ai — zweryfikujemy ją i w razie potrzeby poprawimy lub usuniemy.

7. Komu udostępniamy dane?

Odbiorcami danych mogą być:

• użytkownicy serwisu — dane (z wyłączeniem numerów PESEL i pełnych dat urodzenia) są publicznie dostępne na stronach firmy.ai dla każdego odwiedzającego, z wyjątkiem danych z CRBR, które widzą tylko zalogowani użytkownicy po wskazaniu celu dostępu (sekcja 4); użytkownicy obserwujący dany podmiot lub osobę otrzymują e-mailowe podsumowania zmian; kupujący raport płatny otrzymuje dane zebrane do tego raportu, w zakresie opisanym w sekcji 2,
• użytkownicy z abonamentem, którzy objęli Cię monitoringiem — w e-mailu o zmianie: Twoje imię i nazwisko, nazwa spółki i opis zmiany w KRS,
• kupujący raport z listy firm — gdy zamówią kolumnę „Zarząd według KRS”: imiona, nazwiska i funkcje członków zarządu spółek z listy; gdy włączą jednoosobowe działalności: nazwa działalności (zwykle z imieniem i nazwiskiem przedsiębiorcy), NIP, REGON, PKD, miejscowość i status oraz, gdy je wybiorą, status VAT, wpisy w rejestrze zadłużonych i przetargi wygrane. Kupujący staje się odrębnym administratorem tych danych,
• Cloudflare, Inc. — dostawca hostingu, CDN, pamięci podręcznej i infrastruktury technicznej; w jego infrastrukturze (Workers AI) uruchamiamy też modele, które odczytują liczby ze sprawozdań finansowych, oraz model, który przed publikacją wskazuje imiona i nazwiska w opiniach; w jego infrastrukturze przechowujemy też dane zebrane do raportów płatnych i gotowe raporty (magazyn plików w Unii Europejskiej) i tworzymy z nich pliki PDF,
• PlanetScale, Inc. — dostawca bazy danych, w której przechowujemy dane serwisu; baza znajduje się w centrum danych we Frankfurcie,
• Anthropic Ireland, Limited (grupa Anthropic) — dostawca modelu AI (Claude) wykorzystywanego do generowania raportów oraz profili firm i analiz w raportach z list firm; do modelu trafiają dane zebrane do raportu, w tym imiona i nazwiska osób pełniących funkcje, wspólników i, gdy kupujący wybrał tę część, beneficjentów rzeczywistych; model wyszukuje też w sieci wzmianki o podmiocie raportu,
• Exa Labs, Inc. (Exa.ai) — dostawca wyszukiwania i generowania treści; dla osoby przekazujemy imię i nazwisko, datę urodzenia (o ile ją znamy — służy odróżnieniu osób o tym samym nazwisku) i adres jej strony w firmy.ai, dla podmiotu — nazwę, numer KRS i miasto, dla jednoosobowej działalności gospodarczej — nazwę z CEIDG (zwykle z imieniem i nazwiskiem przedsiębiorcy), numer NIP i miejscowość, w celu przygotowania biogramu lub opisu podmiotu,
• OpenAI Ireland Limited (grupa OpenAI) — dostawca modelu AI dla pogłębionych analiz w raportach; ścieżka nieaktywna, utrzymywana wyłącznie jako awaryjna,
• OpenSanctions Datenbanken GmbH — w celu sprawdzenia obecności na liście osób na eksponowanych stanowiskach (PEP), wyłącznie w płatnym raporcie, przekazujemy zapytanie zawierające imię, nazwisko, a w miarę dostępności datę urodzenia i kraj,
• People Data Labs, Inc. — w celu dopasowania publicznego profilu zawodowego przekazujemy zapytanie zawierające imię, nazwisko, datę urodzenia (o ile ją znamy) i nazwę powiązanej firmy, z ograniczeniem do Polski,
• Apify Technologies s.r.o. — obsługa zapytań do publicznych rejestrów CRBR i KRZ,
• Resend, Inc. — dostawca infrastruktury e-mail (podsumowania dla obserwujących, e-maile monitoringu, dostarczanie raportów),
• Stripe Payments Europe, Limited (Irlandia, grupa Stripe), dostawca płatności za raporty płatne jednorazowo; zakres danych opisujemy poniżej,
• podmioty wspierające nas prawnie, organizacyjnie lub technicznie,
• uprawnione organy publiczne, jeśli wynika to z przepisów prawa.

Stripe i raporty płatne jednorazowo. Raportem płatnym jednorazowo nazywamy zamówienie w Kreatorze oraz jednorazowe odblokowanie raportu (regulamin, §9 ust. 6). Sprzedawcą raportu płatnego jednorazowo jest Wondel.ai sp. z o.o., a Stripe jest naszym dostawcą płatności. Oprócz danych płatnika Stripe dostaje imię i nazwisko osoby albo nazwę firmy, której dotyczy raport, jako część opisu zamówienia, jego metadanych i faktury. Nazwa jednoosobowej działalności gospodarczej zwykle zawiera imię i nazwisko przedsiębiorcy. Imię i nazwisko albo nazwę firmy Stripe przetwarza na nasze zlecenie, jako podmiot przetwarzający (art. 28 RODO), na warunkach opisanych na stripe.com/legal/dpa. Stripe jest odrębnym administratorem tylko tam, gdzie sam ustala cele przetwarzania, na przykład przy wykrywaniu oszustw i wypełnianiu własnych obowiązków prawnych. Po naszej stronie podstawą jest prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), polegający na odnotowaniu w zamówieniu i na fakturze, jaki raport sprzedaliśmy. O danych płatnika piszemy w polityce prywatności (pkt 2.3).

8. Przekazywanie danych do państw trzecich

W związku z korzystaniem z usług dostawców mających siedzibę w Stanach Zjednoczonych, dane osobowe mogą być przekazywane poza Europejski Obszar Gospodarczy:

• Cloudflare, Inc. (USA) — treści serwisu mogą być dostarczane z globalnych węzłów CDN, co oznacza, że dane mogą być przetwarzane na serwerach zlokalizowanych w różnych krajach; dotyczy to także treści opinii analizowanej przed publikacją przez model w Workers AI,
• PlanetScale, Inc. (USA) — baza danych jest utrzymywana we Frankfurcie; dostawca może uzyskać do niej dostęp serwisowy spoza EOG,
• Anthropic (USA) — dane zebrane do raportu płatnego (w tym imiona i nazwiska osób pełniących funkcje, wspólników, a gdy kupujący wybrał tę część, beneficjentów rzeczywistych) są przesyłane do API w celu napisania raportu i wyszukania wzmianek w sieci,
• Exa Labs, Inc. (USA) — zapytania służące wygenerowaniu biogramu osoby (imię, nazwisko, data urodzenia, adres strony) lub opisu podmiotu (nazwa, KRS, miasto) albo jednoosobowej działalności (nazwa z CEIDG, NIP, miejscowość),
• OpenAI (USA) — dane firmy mogą być przesyłane w celu wygenerowania pogłębionych analiz w raportach (ścieżka nieaktywna),
• People Data Labs, Inc. (USA) — zapytania służące dopasowaniu publicznego profilu zawodowego (imię, nazwisko, data urodzenia, nazwa firmy),
• Resend, Inc. (USA) — dostarczanie wiadomości e-mail,
• Stripe Payments Europe, Limited (Irlandia) i spółki z grupy Stripe (USA): dane zamówienia raportu płatnego jednorazowo, w tym imię i nazwisko albo nazwa firmy, której dotyczy raport, mogą być przetwarzane także w USA.

OpenSanctions Datenbanken GmbH (Niemcy) oraz Apify Technologies s.r.o. (Czechy) przetwarzają dane w Unii Europejskiej.

Pliki raportów płatnych i dane zebrane do nich przechowujemy w magazynie Cloudflare R2 w jurysdykcji Unii Europejskiej.

Przekazanie danych do USA odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU–US Data Privacy Framework) — w odniesieniu do dostawców posiadających aktywną certyfikację DPF — a w pozostałym zakresie na podstawie standardowych klauzul umownych (SCC) przyjętych przez Komisję Europejską zgodnie z art. 46 ust. 2 lit. c RODO. Kopię zastosowanych zabezpieczeń lub informację o miejscu ich udostępnienia otrzymasz, pisząc na prywatnosc@firmy.ai.

9. Jak długo przechowujemy dane?

Okres przechowywania zależy od rodzaju danych:

• dane rejestrowe (KRS, CRBR, CEIDG) — tak długo, jak figurują w rejestrze źródłowym; wpisy historyczne (wykreślone funkcje, zakończone relacje) tak długo, jak udostępnia je rejestr, bo są częścią jawnej historii podmiotu. Kopię wpisu CEIDG odświeżamy z rejestru co 14 dni, gdy ktoś odwiedzi stronę; gdy CEIDG nie odpowiada, odświeżamy ją z rejestru REGON,
• wynik porównania z listami sankcyjnymi UE i MSWiA — zapisujemy tylko możliwe dopasowania, z datą; porównanie powtarzamy co noc; na Twoje żądanie sprawdzimy ponownie albo usuniemy wynik,
• ogłoszenia o wyniku postępowania z BZP i TED — przez trzy lata i miesiąc od publikacji ogłoszenia, potem usuwamy je automatycznie; po uwzględnionym sprzeciwie lub wniosku o usunięcie jednoosobowej działalności albo spółki usuwamy jej wygrane i zakupy, a nocne ładowanie nie zapisuje ich ponownie,
• wynik sprawdzenia w liście PEP — zapisujemy go z datą sprawdzenia i nie odświeżamy automatycznie; na Twoje żądanie sprawdzimy ponownie albo usuniemy wynik,
• profil zawodowy, biogram AI i opis AI jednoosobowej działalności — do czasu odświeżenia na żądanie użytkownika albo do Twojego sprzeciwu; po uwzględnionym sprzeciwie usuwamy je natychmiast,
• wpis blokujący po sprzeciwie — identyfikator usuniętej strony, datę i źródło zgłoszenia przechowujemy tak długo, jak istnieje ryzyko ponownego importu z rejestru, czyli bezterminowo; bez tego strona wróciłaby przy kolejnym imporcie. Powód zgłoszenia, adres e-mail (jeśli je podano) i skrót adresu IP przechowujemy osobno od blokady, na potrzeby obrony przed roszczeniami i wykrywania nadużyć, przez okres przedawnienia roszczeń; na Twoje żądanie usuniemy je wcześniej, pozostawiając samą blokadę,
• zgłoszenia sprostowania i prośby o kopię danych złożone na stronie osoby — rodzaj i data zgłoszenia, adres e-mail do odpowiedzi, treść sprostowania i skrót adresu IP (bez numeru PESEL) — przez 5 lat od zgłoszenia, jako dowód, że wniosek obsłużyliśmy, i do wykrywania nadużyć (np. serii wniosków o dane różnych osób z jednego adresu); potem usuwamy je automatycznie,
• potwierdzenia i odrzucenia dopasowania działalności gospodarczej — tak długo, jak istnieje strona osoby,
• dane zebrane do raportu płatnego (odpisy i wyniki sprawdzeń z rejestrów, wzmianki znalezione w sieci): 31 dni od zebrania; w tym czasie służą kolejnym raportom o tym samym podmiocie, potem są usuwane automatycznie,
• gotowy raport płatny (PDF i dane, z których powstał): 365 dni od wygenerowania, żeby kupujący mógł go pobrać i żebyśmy mogli rozpatrzyć reklamację; potem usuwamy go automatycznie. Dane zamówienia potrzebne do rozliczeń przechowujemy przez okres wymagany przepisami podatkowymi,
• zdarzenia monitoringu (wykryte zmiany) — 90 dni od wykrycia; ostatni sprawdzony stan osoby lub spółki, której nikt już nie monitoruje — 30 dni; po uwzględnionym sprzeciwie usuwamy je od razu,
• raport z listy firm — pliki przez 30 dni od dostarczenia, wiersze listy przez 90 dni; oświadczenie kupującego przy kolumnie „Zarząd według KRS” przechowujemy z zamówieniem przez okres przedawnienia roszczeń; kopie pobrane przez kupującego są u niego,
• opinie — dopóki są opublikowane; opinię usuniętą przez autora usuwamy z serwisu od razu, a jej treść po 30 dniach, chyba że trwa sprawa zgłoszenia; zgłoszenia wraz z kopią ocenianej treści — 3 lata od decyzji, a decyzje, odwołania i blokady — 3 lata od ostatniej czynności,
• dane przekazane dostawcom (sekcja 7) — zgodnie z ich politykami; nie wykorzystujemy Twoich danych do trenowania własnych modeli.

Dane potrzebne do ustalenia, dochodzenia lub obrony roszczeń przechowujemy przez okres przedawnienia roszczeń.

10. Twoje prawa

W związku z przetwarzaniem Twoich danych osobowych przysługują Ci następujące prawa:

• prawo dostępu do danych (art. 15 RODO) — możesz uzyskać informację o tym, czy i jakie Twoje dane przetwarzamy; kopię wyślemy Ci e-mailem jako PDF, gdy na swojej stronie wybierzesz „Pobierz swoje dane” i potwierdzisz numerem PESEL, że to Ty,
• prawo do sprostowania danych (art. 16 RODO) — możesz żądać poprawienia nieprawidłowych danych, także przez „Popraw błąd” na swojej stronie; jeżeli dane są nieprawidłowe w źródłowym rejestrze (np. KRS, CEIDG, CRBR), zalecamy równoczesne zgłoszenie korekty do tego rejestru, bo inaczej wrócą przy kolejnym imporcie,
• prawo do usunięcia danych (art. 17 RODO) — możesz żądać usunięcia danych w przypadkach wskazanych w art. 17 ust. 1 RODO, w szczególności gdy wniesiesz sprzeciw, a my nie wykażemy nadrzędnych podstaw przetwarzania, albo gdy dane są przetwarzane niezgodnie z prawem; możemy odmówić tylko w przypadkach z art. 17 ust. 3 RODO, np. gdy dane są niezbędne do ustalenia, dochodzenia lub obrony roszczeń,
• prawo do ograniczenia przetwarzania (art. 18 RODO),
• prawo do sprzeciwu (art. 21 RODO) — możesz w dowolnym momencie wnieść sprzeciw wobec przetwarzania Twoich danych opartego na art. 6 ust. 1 lit. f RODO, w tym wobec profilowania (sekcja 11).

Prawo do przenoszenia danych (art. 20 RODO) nie ma zastosowania, ponieważ przetwarzanie nie odbywa się na podstawie zgody ani umowy.

Aby skorzystać ze swoich praw, skontaktuj się z nami pod adresem: prywatnosc@firmy.ai lub pisemnie na adres siedziby administratora. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca od otrzymania żądania. Na stronie osoby, w panelu „Jesteś tą osobą?”, możesz też bez konta usunąć swoją stronę (sprzeciw), poprawić błąd i pobrać kopię swoich danych.

Przysługuje Ci również prawo do wniesienia skargi do organu nadzorczego. W Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa (uodo.gov.pl). Skargę możesz też wnieść do organu nadzorczego w państwie członkowskim Twojego zwykłego pobytu, miejsca pracy lub miejsca domniemanego naruszenia (art. 77 RODO). Niezależnie od skargi masz prawo do skutecznego środka ochrony prawnej przed sądem, jeżeli uznasz, że przetwarzanie Twoich danych narusza RODO (art. 79 RODO).

11. Prawo sprzeciwu — jak je zgłosić i co się stanie?

Sprzeciw z art. 21 ust. 1 RODO wnosi się z przyczyn związanych z Twoją szczególną sytuacją, a administrator może go nie uwzględnić, jeżeli wykaże nadrzędne podstawy przetwarzania. Idziemy dalej niż wymaga przepis: każdy sprzeciw potwierdzony numerem PESEL realizujemy bez pytania o przyczyny i bez wyważania interesów.

Jak zgłosić. Najszybciej przyciskiem „Usuń moją stronę (sprzeciw)” na stronie osoby. Formularz prosi o numer PESEL i porównuje go z danymi rejestrowymi, żeby ograniczyć zgłoszenia składane przez osoby trzecie; numeru nie zapisujemy po porównaniu. Numer PESEL widnieje w odpisie z KRS, więc nie jest dowodem tożsamości — traktujemy go jako zabezpieczenie, nie jako weryfikację. Podanie numeru PESEL jest dobrowolne, ale bez niego formularz nie zadziała; adres e-mail i powód są dobrowolne, e-mail służy wyłącznie do kontaktu w sprawie zgłoszenia. Możesz też napisać na prywatnosc@firmy.ai lub listownie na adres siedziby; przy uzasadnionych wątpliwościach co do tożsamości poprosimy o dodatkowe potwierdzenie (art. 12 ust. 6 RODO).

Co się stanie. Po zgłoszeniu formularzem strona osoby znika z serwisu, z wyszukiwarki i z mapy strony, publiczny podgląd raportów o Tobie przestaje działać, a nowych raportów nie da się już wygenerować. W raportach o spółkach, w których według KRS pełnisz funkcję albo masz udziały, od chwili sprzeciwu w miejscu Twojego imienia i nazwiska pojawia się „dane osoby usunięte”, także gdy raport powstaje z danych zebranych wcześniej. Usuwamy też zapisane pliki raportów o Tobie i dane zebrane do nich; link do pobrania takiego raportu przestaje działać, a kopia, którą kupujący już pobrał, zostaje u niego. Usuwamy także zapisany profil zawodowy, biogram AI i wynik sprawdzenia w listach sankcyjnych. Zgłoszenie e-mailem lub listem rozpatrujemy indywidualnie, nie później niż w ciągu miesiąca; odmówić możemy tylko w tym trybie i tylko wtedy, gdy wykażemy nadrzędne podstawy przetwarzania albo podstawy do ustalenia, dochodzenia lub obrony roszczeń — wtedy podamy uzasadnienie. Jeśli prowadzisz jednoosobową działalność gospodarczą, na Twoje żądanie ukrywamy także stronę tej działalności (/NIP/…) razem z jej opisem AI; firma, NIP i adres działalności to również Twoje dane osobowe. CEIDG nie zawiera numeru PESEL, więc dla takiej strony formularz z numerem PESEL nie działa: napisz na prywatnosc@firmy.ai, podając numer NIP działalności, a po potwierdzeniu, że to Twoja działalność, ukryjemy stronę i usuniemy opis. Ukrycie strony działalności ukrywa też opinie o niej. Kończymy też monitoring i obserwowanie Twojej osoby przez użytkowników, a Twoje dane nie trafią już do kolumny „Zarząd według KRS” w kolejnych raportach z list firm.

Czego sprzeciw nie obejmuje. Nie usuwa Twoich danych z rejestrów źródłowych (KRS, CEIDG, CRBR) — tam pozostają jawne z mocy ustawy. Nie obejmuje danych spółki (nazwa, KRS, NIP, siedziba, finanse). Raporty, które użytkownicy kupili i pobrali przed sprzeciwem, pozostają u nich, tak samo raporty z list firm, za które kupujący odpowiadają jako administratorzy; jeśli chcesz, żebyśmy powiadomili odbiorców takich raportów, napisz do nas (art. 19 RODO). Dane zebrane wcześniej do raportów o spółkach (w tym Twoje imię i nazwisko jako członka organu, wspólnika albo beneficjenta) pozostają w naszym magazynie do automatycznego usunięcia: 31 dni dla danych zebranych do raportu i 365 dni dla gotowych raportów. Nie pokazujemy ich nikomu w tej postaci, a każdy nowy plik PDF tworzony po sprzeciwie ukrywa Twoje dane. Adres Twojej dawnej strony odpowiada neutralną informacją, że dane zostały usunięte na żądanie, a wyszukiwarki internetowe usuwają go ze swoich wyników we własnym tempie.

Co zostaje. Wpis blokujący opisany w sekcji 9 — bez niego strona wróciłaby przy kolejnym imporcie z rejestru.

12. Zautomatyzowane podejmowanie decyzji

Nie podejmujemy wobec Ciebie decyzji wywołujących skutki prawne lub w podobny sposób istotnie na Ciebie wpływających wyłącznie w sposób zautomatyzowany (art. 22 RODO).

Automatyczne dopasowania i treści opisane w sekcjach 5 i 6 (np. scoring AI, analizy, dopasowania do list PEP i sankcyjnych) mają charakter wyłącznie pomocniczy i informacyjny. Nie stanowią samodzielnej, zweryfikowanej oceny osoby, nie służą nam do podejmowania decyzji o Tobie, a użytkownikom nie wolno opierać na nich decyzji o kredycie, zatrudnieniu ani innych z załącznika III do AI Act. Automatycznie, na żądanie osoby, wykonujemy tylko trzy rzeczy: usunięcie strony po sprzeciwie zgłoszonym formularzem, potwierdzenie lub odrzucenie dopasowania działalności gospodarczej (sekcja 5) oraz usunięcie strony przez link usuwający, którego używamy przy obsłudze zgłoszeń e-mailowych. Bez udziału człowieka zastępujemy też imiona i nazwiska w opiniach oznaczeniem „[usunięte nazwisko]” (sekcja 6); o zgłoszeniach opinii decyduje człowiek.

13. Kontakt

W sprawach dotyczących przetwarzania Twoich danych osobowych:

• e-mail: prywatnosc@firmy.ai
• adres korespondencyjny: Wondel.ai sp. z o.o., ul. Twarda 18, 00-105 Warszawa