1. Administrator i podmiot przetwarzający
Windykator.ai to usługa SaaS, w ramach której prowadzimy windykację polubowną (przedsądową) w imieniu naszych Klientów (wierzycieli).
- Administratorem danych dłużnika jest co do zasady wierzyciel (nasz Klient), który zleca windykację swojej należności i decyduje o celach oraz sposobach przetwarzania.
- Windykator.ai działa jako podmiot przetwarzający (procesor) w rozumieniu art. 28 RODO, przetwarzając dane dłużnika wyłącznie na udokumentowane polecenie wierzyciela.
- W zakresie danych użytkowników naszego serwisu (osób zakładających konto, dane kontaktowe, dane rozliczeniowe) administrator serwisu windykator.ai jest administratorem.
2. Podstawa prawna przetwarzania danych dłużnika
Dane osobowe dłużnika przetwarzamy na podstawie prawnie uzasadnionego interesu administratora (wierzyciela), tj. art. 6 ust. 1 lit. f RODO, którym jest dochodzenie i odzyskiwanie własnych, wymagalnych roszczeń.
Zgoda dłużnika nie jest wymagana i nie warunkujemy od niej prowadzenia windykacji. Przy pierwszym kontakcie pisemnym (e-mail lub list) spełniamy wobec dłużnika obowiązek informacyjny: wskazujemy tożsamość administratora, cel i podstawę przetwarzania oraz przysługujące prawa, w tym prawo sprzeciwu (art. 21 RODO) oraz informację o procedurze reklamacyjnej.
3. Umowa powierzenia przetwarzania (DPA)
Zanim wierzyciel uruchomi jakąkolwiek windykację w systemie, musi elektronicznie zaakceptować umowę powierzenia przetwarzania danych osobowych (art. 28 RODO). Umowa określa m.in. przedmiot i czas przetwarzania, rodzaje danych, kategorie osób, podmioty podprzetwarzające (subprocesorów) oraz zastosowane środki bezpieczeństwa. Bez zaakceptowanej umowy powierzenia żadna wiadomość do dłużnika nie zostaje wysłana. Akceptacja jest zapisywana z numerem wersji i datą.
4. Zakres przetwarzanych danych
Przetwarzamy wyłącznie dane niezbędne do prowadzenia sprawy (zasada minimalizacji):
- dane identyfikujące dłużnika: nazwa firmy, imię i nazwisko, NIP/REGON lub PESEL (jeśli niezbędne), adres;
- dane kontaktowe zweryfikowane jako należące do dłużnika: numer telefonu, adres e-mail;
- dane sprawy: numer i data faktury, kwota należności głównej, odsetki, termin płatności, stan zaległości;
- zapis kontaktów: transkrypcje rozmów AI, wiadomości SMS i e-mail, doręczenia listów;
- dane użytkownika serwisu: imię i nazwisko, e-mail, dane firmy i rozliczeniowe.
Nie ujawniamy informacji o długu osobom nieuprawnionym (rodzinie, sąsiadom, pracodawcy) bez zgody dłużnika. Listy wysyłamy w zwykłych, zaklejonych kopertach bez oznaczeń wskazujących na windykację.
5. Okres przechowywania (retencja)
Dane przechowujemy nie dłużej, niż jest to konieczne do realizacji celu, a następnie usuwamy lub anonimizujemy. Okres retencji ustala administrator (wierzyciel) w oparciu o terminy przedawnienia roszczeń (art. 118 Kodeksu cywilnego):
- 6 lata dla zasady ogólnej;
- 3 lata dla roszczeń o świadczenia okresowe oraz roszczeń związanych z prowadzeniem działalności gospodarczej (typowe należności B2B);
- bieg terminu kończy się z upływem ostatniego dnia roku kalendarzowego.
Po upływie ustalonego okresu dane są automatycznie usuwane lub anonimizowane przez systemowy mechanizm retencji.
6. Prawa osoby, której dane dotyczą
Każdej osobie, której dane przetwarzamy, przysługuje prawo do:
- dostępu do danych oraz uzyskania ich kopii;
- sprostowania danych nieprawidłowych;
- usunięcia lub ograniczenia przetwarzania (w granicach przepisów);
- wniesienia sprzeciwu wobec przetwarzania (art. 21 RODO) z przyczyn związanych ze szczególną sytuacją;
- przenoszenia danych (w zakresie, w jakim ma zastosowanie);
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO).
Sprzeciw oraz żądania kierujemy do administratora (wierzyciela), a my jako procesor niezwłocznie je przekazujemy i wstrzymujemy automatyczny kontakt na danym kanale do czasu rozpatrzenia. Dłużnik może też w każdej chwili poprosić o zaprzestanie kontaktu AI lub o rozmowę z człowiekiem.
7. Bezpieczeństwo danych
Stosujemy adekwatne środki techniczne i organizacyjne: szyfrowanie transmisji (TLS), ograniczony i rozliczalny dostęp w oparciu o role, rozdzielenie środowisk oraz pełny, niezmienialny rejestr (audyt) każdego kontaktu z dłużnikiem na potrzeby rozliczalności wobec UODO i UOKiK.
8. Lokalizacja danych i podmioty podprzetwarzające
Dane przetwarzamy i przechowujemy na serwerach zlokalizowanych w Unii Europejskiej / Europejskim Obszarze Gospodarczym (UE/EOG). Korzystamy ze sprawdzonych dostawców infrastruktury i usług (subprocesorów), z którymi łączą nas umowy zapewniające poziom ochrony zgodny z RODO. Lista subprocesorów stanowi załącznik do umowy powierzenia.
9. Profile firm i komentarze
W tym zakresie administrator serwisu windykator.ai jest administratorem danych. Serwis prowadzi profile firm z danymi z Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), a przy spółkach z białej listy podatników VAT i Krajowego Rejestru Sądowego. Przy jednoosobowej działalności są to dane ujawnione w rejestrze: nazwa firmy, imię i nazwisko przedsiębiorcy, NIP, REGON, przedmiot działalności (PKD), data rozpoczęcia, status i adres wykonywania działalności. Z adresu do doręczeń pokazujemy tylko miejscowość i województwo. Nie publikujemy numerów telefonów ani adresów e-mail.
Podstawą jest art. 6 ust. 1 lit. f RODO: prawnie uzasadniony interes firm, które sprawdzają kontrahenta przed współpracą albo przed zakupem wierzytelności. Profil nie oznacza, że firma ma długi. Danych o sprawach windykacyjnych prowadzonych przez naszych Klientów nigdy nie łączymy z profilami.
Na profilu może pojawić się informacja „Aktywny dług” bez kwoty i innych szczegółów, wyłącznie po udokumentowaniu długu i poinformowaniu dłużnika o publikacji co najmniej 14 dni wcześniej. Informacja znika po 12 miesiącach, po spłacie albo po uwzględnieniu sprzeciwu. Szczegóły długu udostępniamy tylko na wniosek firmy zainteresowanej zakupem wierzytelności, po jej weryfikacji i przyjęciu zasad poufności.
Każda osoba, której dotyczy profil, może poprosić o jego usunięcie formularzem na stronie profilu (sprzeciw z art. 21 RODO), a właściciel firmy może zgłosić sprzeciw wobec informacji o długu. Prośby i sprzeciwy rozpatrujemy ręcznie bez zbędnej zwłoki, najpóźniej w ciągu miesiąca (art. 12 ust. 3 RODO), i odpowiadamy mailem. Usunięty profil nie wraca przy kolejnej aktualizacji danych.
Komentarze pod profilami: podpis i treść są publiczne, podpis i adres e-mail są opcjonalne. Adres e-mail i adres IP autora służą wyłącznie do kontaktu przy zgłoszeniu komentarza i do obrony przed roszczeniami (art. 6 ust. 1 lit. f RODO). Przechowujemy je przez czas publikacji komentarza i 3 lata po jego usunięciu.
Zgłoszenia z profili (imię i nazwisko, e-mail, uzasadnienie) i wnioski o szczegóły długu (nazwa firmy, NIP, imię i nazwisko, e-mail, telefon, cel) przetwarzamy w celu ich rozpatrzenia i kontaktu (art. 6 ust. 1 lit. c i f RODO, przy wnioskach także lit. b) przez 3 lata od złożenia, na potrzeby ustalenia i obrony roszczeń.
10. Pliki cookies
W serwisie używamy plików cookies niezbędnych do działania strony i sesji oraz, w ograniczonym zakresie, do celów analitycznych. Ustawienia cookies możesz zmienić w swojej przeglądarce.
11. Kontakt
W sprawach dotyczących ochrony danych osobowych napisz na adres kontakt@windykator.ai. Odpowiadamy w ciągu jednego dnia roboczego.