Polityka prywatności
Zasady przetwarzania danych osobowych w Kancelarii Prawno-Podatkowej DPPW, zgodnie z RODO.
1. Postanowienia ogólne
Niniejsza Polityka Prywatności ma charakter informacyjny i określa zasady przetwarzania oraz ochrony danych osobowych Użytkowników korzystających z Serwisu internetowego oraz usług świadczonych przez Kancelarię, w szczególności usług doradztwa podatkowego i obsługi księgowej (pakiet ryczałtowy), formularzy kontaktowych oraz systemu rezerwacji konsultacji online. Przy świadczeniu usług i prowadzeniu Serwisu Administrator korzysta ze wsparcia zewnętrznych dostawców, których kategorie oraz rolę opisano w pkt 6.
Polityka jest zgodna z wymogami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO).
2. Administrator danych osobowych i dane kontaktowe
Administratorem danych osobowych Użytkowników i Klientów jest:
Kancelaria Prawno-Podatkowa DPPW Doradca Podatkowy Piotr Wójtowicz
ul. Teofila Aleksandra Lenartowicza 8 / 3, 43-300 Bielsko-Biała
NIP: 9372774955, REGON: 542929561
Adres e-mail: kancelaria@dppw.pl
Numer telefonu: +48 881 738 079
Punkt kontaktowy RODO
Administrator pełni funkcję punktu kontaktowego w zakresie realizacji praw osób, których dane dotyczą. Wszelkie wnioski dotyczące przetwarzania danych należy kierować na wskazany powyżej adres e-mail.
3. Cele, zakres i podstawy prawne przetwarzania danych
3.1. Klienci pakietów ryczałtowych i umów długoterminowych
| Cel przetwarzania | Zakres danych | Podstawa prawna | Okres retencji |
|---|---|---|---|
| Realizacja umowy o świadczenie usług doradztwa podatkowego, księgowego i prawnego | Dane identyfikacyjne (imię, nazwisko, nazwa firmy, NIP, PESEL, REGON), dane kontaktowe (adres, e-mail, telefon) oraz dane finansowe i księgowe niezbędne do wykonania usługi | Art. 6 ust. 1 lit. b RODO (niezbędność do wykonania umowy) | Przez czas trwania umowy |
| Wypełnienie obowiązków prawnych (podatkowych, rachunkowych, sprawozdawczych) | Dokumentacja księgowa i podatkowa (faktury, rejestry VAT, deklaracje) | Art. 6 ust. 1 lit. c RODO (Ustawa o rachunkowości, Ordynacja podatkowa) | 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku |
| Ustalenie, dochodzenie lub obrona przed roszczeniami | Dane identyfikacyjne, finansowe, korespondencja, zapisy umów | Art. 6 ust. 1 lit. f RODO (uzasadniony interes Administratora) | Do upływu terminu przedawnienia roszczeń (zazwyczaj 3 lub 6 lat) |
3.2. Formularz kontaktowy i formularz wyboru pakietu
| Cel przetwarzania | Zakres danych | Podstawa prawna | Okres retencji |
|---|---|---|---|
| Obsługa zapytania przesłanego formularzem kontaktowym | Imię, adres e-mail, numer telefonu, temat, treść wiadomości | Art. 6 ust. 1 lit. f RODO (odpowiedź na zapytanie) lub lit. b (działania przedkontraktowe) | Do zakończenia korespondencji; do 1 roku, jeśli nie doszło do zawarcia umowy |
| Obsługa zgłoszenia wyboru pakietu | Nazwa firmy, NIP, adres e-mail i/lub numer telefonu, treść wiadomości | Art. 6 ust. 1 lit. b RODO (działania przedkontraktowe na żądanie osoby) | Do 1 roku, jeśli nie doszło do zawarcia umowy |
| Realizacja płatności online za pakiet | Dane niezbędne do przeprowadzenia płatności, przekazywane operatorowi płatności | Art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz lit. c (obowiązki rozliczeniowe) | Zgodnie z przepisami o rachunkowości oraz do upływu przedawnienia roszczeń |
3.3. System rezerwacji konsultacji online
| Cel przetwarzania | Zakres danych | Podstawa prawna | Okres retencji |
|---|---|---|---|
| Obsługa rezerwacji terminu konsultacji oraz podjęcie działań przedkontraktowych | Imię i nazwisko, adres e-mail, numer telefonu, wybrana data/godzina, opis sprawy/zagadnienia | Art. 6 ust. 1 lit. b RODO (działania przedkontraktowe na żądanie osoby) | 1 rok od daty rezerwacji, jeśli nie doszło do zawarcia umowy, lub do momentu przedawnienia roszczeń |
| Niezamierzone pozyskanie danych wrażliwych (art. 9 RODO) | Informacje ujawnione dobrowolnie przez Użytkownika w polu „Opis sprawy" (np. dane o stanie zdrowia związane z zasiłkami) | Art. 9 ust. 2 lit. f RODO (dochodzenie/obrona roszczeń) lub lit. a (wyraźna zgoda Użytkownika) | Przez okres niezbędny do realizacji celu prawnego |
4. Pliki cookies i technologie śledzące
Serwis wykorzystuje pliki cookies oraz podobne technologie. Przechowywanie informacji na urządzeniu końcowym Użytkownika oraz uzyskiwanie do niej dostępu następuje zgodnie z przepisami Prawa komunikacji elektronicznej (które zastąpiło dotychczasowe Prawo telekomunikacyjne), a w zakresie, w jakim informacje odczytywane lub zapisywane za pośrednictwem plików cookies stanowią dane osobowe, także zgodnie z RODO. Stosowane pliki cookies dzielimy na następujące kategorie.
4.1. Niezbędne (techniczne)
Konieczne do prawidłowego i bezpiecznego działania Serwisu – m.in. utrzymanie sesji, zapamiętanie preferencji językowych, ustawień motywu (jasny/ciemny) oraz Twoich wyborów dotyczących zgód na cookies. Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes polegający na zapewnieniu bezpiecznego i poprawnego działania Serwisu). Nie wymagają zgody.
4.2. Analityczne i marketingowe (Google Ads) – wyłącznie za zgodą
Za Twoją zgodą Serwis korzysta z narzędzia Google Ads w celu pomiaru skuteczności kampanii reklamowych (śledzenia konwersji) – tj. ustalenia, czy wizyta w Serwisie zakończyła się kontaktem lub zgłoszeniem. W tym celu mogą być zapisywane pliki cookies oraz przetwarzane identyfikatory internetowe i adres IP. Pliki te są uruchamiane wyłącznie po wyrażeniu przez Ciebie zgody w banerze cookies i pozostają nieaktywne, dopóki zgoda nie zostanie udzielona.
Podstawa prawna: art. 6 ust. 1 lit. a RODO (Twoja zgoda). Zgodę możesz w każdej chwili wycofać, bez wpływu na zgodność z prawem przetwarzania sprzed wycofania.
4.3. Zarządzanie zgodami
Przy pierwszej wizycie wyświetlamy baner zgód, w którym możesz: zaakceptować wszystkie pliki cookies, wybrać tylko niezbędne, albo samodzielnie ustawić poszczególne kategorie (niezbędne / analityczne / marketingowe). Swój wybór możesz zmienić w dowolnym momencie, korzystając z odnośnika „Ustawienia cookies" w stopce Serwisu. Pliki cookies możesz również usuwać i blokować w ustawieniach swojej przeglądarki; zablokowanie niezbędnych plików może jednak zaburzyć działanie Serwisu.
W celu wykazania zgodności z zasadą rozliczalności (art. 7 RODO) zapisujemy fakt udzielenia lub wycofania zgody wraz z datą, wybranymi kategoriami oraz zanonimizowanym adresem IP.
4.4. Statystyki odwiedzin bez plików cookies (Umami)
Serwis korzysta z narzędzia statystycznego Umami, utrzymywanego w całości na własnym serwerze Administratora. Narzędzie to nie wykorzystuje plików cookies ani innych form przechowywania informacji na urządzeniu Użytkownika i nie tworzy profili poszczególnych osób. Gromadzone są wyłącznie zbiorcze dane statystyczne, takie jak liczba odsłon podstron, źródło wejścia, typ przeglądarki i urządzenia oraz przybliżona lokalizacja (kraj). Adres IP przetwarzany jest wyłącznie doraźnie i nie jest przechowywany w postaci umożliwiającej identyfikację Użytkownika. Podstawą prawną jest art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora polegający na analizie oglądalności i doskonaleniu Serwisu. Z uwagi na brak zapisu informacji na urządzeniu Użytkownika narzędzie działa bez zgody, o której mowa w przepisach Prawa komunikacji elektronicznej.
5. Adres IP i dane techniczne
Podczas korzystania z Serwisu automatycznie przetwarzane są dane techniczne, w tym adres IP, typ przeglądarki i urządzenia oraz data i godzina wizyty. Dane te wykorzystujemy do zapewnienia bezpieczeństwa, diagnostyki oraz prawidłowego działania Serwisu (art. 6 ust. 1 lit. f RODO), a w zakresie rejestru zgód na cookies – do wykazania zgodności (adres IP jest wówczas anonimizowany). Za Twoją zgodą adres IP może być również przetwarzany przez Google w ramach pomiaru konwersji Google Ads.
6. Odbiorcy danych osobowych i powierzenie przetwarzania
Administrator udostępnia dane osobowe wyłącznie w zakresie niezbędnym oraz wyłącznie podmiotom, wobec których ciąży na nim obowiązek prawny udostępnienia danych, bądź podmiotom przetwarzającym dane na jego zlecenie na podstawie umów powierzenia przetwarzania zawartych zgodnie z art. 28 RODO. Administrator dokłada staranności, aby każdy podmiot przetwarzający zapewniał wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, o których mowa w art. 28 ust. 1 RODO. W ramach świadczenia usług oraz prowadzenia Serwisu Administrator korzysta z następujących kategorii odbiorców i podmiotów przetwarzających.
Hosting Serwisu oraz poczta elektroniczna. Infrastrukturę hostingową Serwisu oraz usługę poczty elektronicznej (rozwiązanie Zimbra) zapewnia dostawca OVHcloud (OVH). Wiadomości e-mail, załączniki, kontakty i kalendarze przechowywane są wyłącznie w europejskich centrach danych tego dostawcy, co zapewnia zgodność z RODO oraz brak transferu danych poza Europejski Obszar Gospodarczy. Do obsługi poczty Administrator wykorzystuje lokalnego klienta pocztowego zainstalowanego na własnych urządzeniach; oprogramowanie to nie przekazuje treści korespondencji podmiotom trzecim.
Przechowywanie i wymiana dokumentów. W celu bezpiecznego przechowywania oraz wymiany dokumentów z Klientami Administrator wykorzystuje oprogramowanie Nextcloud, którego instancja utrzymywana jest w ramach opisanej powyżej infrastruktury hostingowej, na terenie Europejskiego Obszaru Gospodarczego. Dostęp do dokumentów podlega kontroli uprawnień oraz szyfrowaniu połączeń.
Wystawianie faktur i obieg dokumentów księgowych. Do wystawiania faktur oraz obiegu dokumentów księgowych Administrator korzysta z systemu KonektoSmart, którego dostawca pełni funkcję podmiotu przetwarzającego na podstawie umowy powierzenia. Dane przetwarzane w tym systemie pozostają na terenie Europejskiego Obszaru Gospodarczego.
Obsługa księgowa. Przy realizacji usług obsługi księgowej Administrator może współpracować z zewnętrznym biurem rachunkowym, któremu w zakresie niezbędnym do wykonania usługi powierza przetwarzanie danych na podstawie umowy zawartej zgodnie z art. 28 RODO.
Płatności elektroniczne. W przypadku płatności online za wybrany pakiet dane niezbędne do realizacji transakcji przekazywane są operatorowi płatności elektronicznych, który przetwarza je we własnym zakresie w celu wykonania i rozliczenia płatności.
Usługi Google. Serwis korzysta z interaktywnej mapy Google Maps (w sekcji kontaktowej) oraz, wyłącznie po wyrażeniu przez Użytkownika zgody, z narzędzia Google Ads służącego pomiarowi konwersji. Dostawcą tych usług jest Google Ireland Limited, przy czym dane mogą być przekazywane do Google LLC z siedzibą w Stanach Zjednoczonych; zasady transferu opisano w pkt 7.
Organy władzy publicznej. Dane mogą być udostępniane uprawnionym organom państwowym, w tym urzędom skarbowym, Zakładowi Ubezpieczeń Społecznych (ZUS) oraz sądom i organom ścigania, wyłącznie w przypadkach i w zakresie wynikającym z powszechnie obowiązujących przepisów prawa.
Odrębną kwestię stanowi sytuacja, w której Administrator sam występuje w roli podmiotu przetwarzającego. Przy świadczeniu usług księgowych i kadrowych na rzecz przedsiębiorców (B2B) Administrator przetwarza dane osobowe pracowników i współpracowników Klienta w imieniu i na polecenie tego Klienta, który pozostaje administratorem tych danych; zasady przetwarzania reguluje wówczas odrębna umowa powierzenia. W zakresie, w jakim do wykonania takiej usługi Administrator posługuje się dalszymi podmiotami przetwarzającymi (podprocesorami, np. dostawcą infrastruktury i hostingu, systemem KonektoSmart czy biurem rachunkowym), dalsze powierzenie następuje na podstawie i w granicach zgody Klienta wyrażonej w umowie powierzenia, a Administrator pozostaje w pełni odpowiedzialny wobec Klienta za działania tych podmiotów.
7. Przekazywanie danych poza Europejski Obszar Gospodarczy (EOG)
Administrator dąży do minimalizacji transferu danych osobowych poza EOG. Dane przetwarzane w związku z obsługą poczty elektronicznej i hostingiem Serwisu (OVHcloud), przechowywaniem i wymianą dokumentów (Nextcloud), wystawianiem faktur (KonektoSmart) oraz obsługą księgową pozostają na terenie Europejskiego Obszaru Gospodarczego. Dane statystyczne narzędzia Umami przetwarzane są wyłącznie na własnym serwerze Administratora i również nie opuszczają EOG.
Transfer poza EOG może natomiast wiązać się z korzystaniem z usług Google, tj. z mapy Google Maps w sekcji kontaktowej oraz, za zgodą Użytkownika, z narzędzia Google Ads do pomiaru konwersji. Może to skutkować przekazaniem adresu IP oraz identyfikatorów internetowych do Google LLC w Stanach Zjednoczonych. Podstawę przetwarzania stanowi w przypadku mapy Google Maps art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes polegający na umożliwieniu weryfikacji lokalizacji Kancelarii i zaplanowania dojazdu), a w przypadku Google Ads art. 6 ust. 1 lit. a RODO (zgoda). Transfer odbywa się z zachowaniem zabezpieczeń przewidzianych w rozdziale V RODO, w szczególności na podstawie Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską.
8. Prawa osób, których dane dotyczą
Każdej osobie, której dane dotyczą, przysługuje prawo dostępu do danych oraz uzyskania ich kopii i informacji o przetwarzaniu (art. 15 RODO), prawo do sprostowania nieprawidłowych danych oraz ich uzupełnienia (art. 16 RODO), a także prawo do usunięcia danych (art. 17 RODO, tzw. „prawo do bycia zapomnianym”), przy czym to ostatnie podlega ograniczeniu w zakresie, w jakim przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego, w szczególności w okresie retencji dokumentacji księgowej i podatkowej. Osobie tej przysługuje ponadto prawo do ograniczenia przetwarzania (art. 18 RODO), prawo do przenoszenia danych (art. 20 RODO), o ile przetwarzanie odbywa się na podstawie zgody lub umowy oraz w sposób zautomatyzowany, jak również prawo do wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO). W przypadku przetwarzania na podstawie zgody Użytkownik może ją wycofać w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.
Osobie, której dane dotyczą, przysługuje również prawo wniesienia skargi do organu nadzorczego, którym w Rzeczypospolitej Polskiej jest Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stanisława Moniuszki 1A, 00-014 Warszawa.
9. Bezpieczeństwo danych i postanowienia końcowe
Administrator stosuje odpowiednie środki techniczne i organizacyjne mające zapewnić bezpieczeństwo przetwarzanych danych osobowych, w tym szyfrowanie połączeń (certyfikat SSL), kontrolę dostępu do systemów oraz korzystanie z infrastruktury poczty elektronicznej i przechowywania dokumentów zlokalizowanej w europejskich centrach danych, a także zabezpieczenia przed nieuprawnionym dostępem i utratą danych.
Administrator nie stosuje zautomatyzowanego podejmowania decyzji wywołującego skutki prawne wobec Użytkowników ani profilowania reklamowego (remarketingu); narzędzie Google Ads wykorzystywane jest wyłącznie do pomiaru konwersji.
Niniejsza Polityka Prywatności może ulec zmianie w przypadku modyfikacji przepisów prawa lub zmian w zakresie prowadzonej działalności. O wszelkich istotnych zmianach Użytkownicy zostaną poinformowani z odpowiednim wyprzedzeniem.
Data ostatniej aktualizacji: 13 września 2026 r.
1. General provisions
This Privacy Policy is for information purposes and sets out the rules for processing and protecting the personal data of Users using the Website and the services provided by the Firm, in particular tax advisory and bookkeeping services (lump-sum package), contact forms and the online consultation booking system. In providing its services and running the Website, the controller uses the support of external providers whose categories and roles are described in point 6.
The Policy complies with Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (GDPR).
2. Data controller and contact details
The controller of the personal data of Users and Clients is:
Kancelaria Prawno-Podatkowa DPPW Doradca Podatkowy Piotr Wójtowicz
ul. Teofila Aleksandra Lenartowicza 8 / 3, 43-300 Bielsko-Biała, Poland
Tax ID (NIP): 9372774955, REGON: 542929561
E-mail: kancelaria@dppw.pl
Phone: +48 881 738 079
GDPR contact point
The controller acts as the contact point for exercising the rights of data subjects. All requests concerning data processing should be sent to the e-mail address indicated above.
3. Purposes, scope and legal bases of processing
3.1. Clients of lump-sum packages and long-term contracts
| Purpose | Scope of data | Legal basis | Retention period |
|---|---|---|---|
| Performance of the contract for tax, accounting and legal advisory services | Identification data (first name, surname, company name, NIP, PESEL, REGON), contact data (address, e-mail, phone) and financial/accounting data necessary to provide the service | Art. 6(1)(b) GDPR (necessity to perform a contract) | For the duration of the contract |
| Compliance with legal obligations (tax, accounting, reporting) | Accounting and tax documentation (invoices, VAT registers, declarations) | Art. 6(1)(c) GDPR (Accounting Act, Tax Ordinance) | 5 years from the end of the calendar year in which the tax payment deadline fell |
| Establishing, pursuing or defending claims | Identification and financial data, correspondence, contract records | Art. 6(1)(f) GDPR (legitimate interest of the controller) | Until the limitation period for claims expires (usually 3 or 6 years) |
3.2. Contact form and package selection form
| Purpose | Scope of data | Legal basis | Retention period |
|---|---|---|---|
| Handling an enquiry sent via the contact form | Name, e-mail address, phone number, subject, message content | Art. 6(1)(f) GDPR (replying to an enquiry) or (b) (pre-contractual steps) | Until the correspondence ends; up to 1 year if no contract is concluded |
| Handling a package selection request | Company name, NIP, e-mail and/or phone number, message content | Art. 6(1)(b) GDPR (pre-contractual steps at the request of the person) | Up to 1 year if no contract is concluded |
| Processing online payment for a package | Data necessary to carry out the payment, transferred to the payment operator | Art. 6(1)(b) GDPR (performance of a contract) and (c) (settlement obligations) | In accordance with accounting regulations and until claims become time-barred |
3.3. Online consultation booking system
| Purpose | Scope of data | Legal basis | Retention period |
|---|---|---|---|
| Handling a consultation booking and taking pre-contractual steps | First name and surname, e-mail address, phone number, selected date/time, description of the matter | Art. 6(1)(b) GDPR (pre-contractual steps at the request of the person) | 1 year from the booking date if no contract is concluded, or until claims become time-barred |
| Unintended collection of special-category data (Art. 9 GDPR) | Information voluntarily disclosed by the User in the "Description of the matter" field (e.g. health-related data linked to benefits) | Art. 9(2)(f) GDPR (pursuing/defending claims) or (a) (the User's explicit consent) | For the period necessary to achieve the legal purpose |
4. Cookies and tracking technologies
The Website uses cookies and similar technologies. The storage of information on the User's terminal device and access to it take place in accordance with the provisions of the Electronic Communications Law (which replaced the former Telecommunications Law) and, insofar as the information read or written via cookies constitutes personal data, also in accordance with the GDPR. The cookies used are divided into the following categories.
4.1. Necessary (technical)
Required for the correct and secure operation of the Website – e.g. maintaining the session, remembering language preferences, theme settings (light/dark) and your cookie-consent choices. Legal basis: Art. 6(1)(f) GDPR (legitimate interest in the secure and correct operation of the Website). These do not require consent.
4.2. Analytics and marketing (Google Ads) – only with consent
With your consent, the Website uses Google Ads to measure the effectiveness of advertising campaigns (conversion tracking) – i.e. to determine whether a visit resulted in contact or a request. For this purpose, cookies may be stored and online identifiers and the IP address may be processed. These cookies are activated only after you give consent in the cookie banner and remain inactive until consent is given.
Legal basis: Art. 6(1)(a) GDPR (your consent). You may withdraw consent at any time, without affecting the lawfulness of processing prior to withdrawal.
4.3. Managing consents
On your first visit we display a consent banner where you can: accept all cookies, keep only the necessary ones, or set individual categories yourself (necessary / analytics / marketing). You can change your choice at any time using the "Cookie settings" link in the Website footer. You can also delete and block cookies in your browser settings; blocking necessary cookies may, however, impair the Website's operation.
To demonstrate compliance with the accountability principle (Art. 7 GDPR), we record the fact that consent was given or withdrawn, together with the date, the chosen categories and an anonymised IP address.
4.4. Cookieless visit statistics (Umami)
The Website uses the Umami statistics tool, hosted entirely on the controller's own server. The tool does not use cookies or any other form of storing information on the User's device and does not create profiles of individual persons. Only aggregate statistical data is collected, such as the number of views of individual subpages, the traffic source, the browser and device type, and the approximate location (country). The IP address is processed only transiently and is not stored in a form that would allow the User to be identified. The legal basis is Art. 6(1)(f) GDPR – the controller's legitimate interest in analysing traffic and improving the Website. As no information is stored on the User's device, the tool operates without the consent referred to in the Electronic Communications Law.
5. IP address and technical data
When you use the Website, technical data is processed automatically, including the IP address, browser and device type, and the date and time of the visit. We use this data to ensure security, diagnostics and the correct operation of the Website (Art. 6(1)(f) GDPR) and, for the cookie-consent log, to demonstrate compliance (the IP address is then anonymised). With your consent, the IP address may also be processed by Google as part of Google Ads conversion measurement.
6. Recipients of personal data and entrustment of processing
The controller discloses personal data only to the extent necessary and only to entities to which it is under a legal obligation to disclose data, or to processors handling data on its behalf under data processing agreements concluded in accordance with Art. 28 GDPR. The controller takes care to ensure that each processor provides sufficient guarantees to implement appropriate technical and organisational measures referred to in Art. 28(1) GDPR. In providing its services and running the Website, the controller uses the following categories of recipients and processors.
Website hosting and e-mail. The Website's hosting infrastructure and the e-mail service (the Zimbra solution) are provided by OVHcloud (OVH). E-mail messages, attachments, contacts and calendars are stored exclusively in this provider's European data centres, ensuring GDPR compliance and no transfer of data outside the European Economic Area. To handle mail, the controller uses a local e-mail client installed on its own devices; this software does not disclose the content of correspondence to third parties.
Document storage and exchange. To securely store and exchange documents with Clients, the controller uses Nextcloud software, whose instance is maintained within the hosting infrastructure described above, within the European Economic Area. Access to documents is subject to permission control and connection encryption.
Invoicing and accounting document flow. For issuing invoices and handling the flow of accounting documents, the controller uses the KonektoSmart system, whose provider acts as a processor under a data processing agreement. Data processed in this system remains within the European Economic Area.
Accounting services. When providing accounting services, the controller may cooperate with an external accounting office, entrusting it with data processing to the extent necessary to perform the service under an agreement concluded in accordance with Art. 28 GDPR.
Electronic payments. For online payment for a selected package, the data necessary to carry out the transaction is transferred to an electronic payment operator, which processes it independently in order to execute and settle the payment.
Google services. The Website uses the interactive Google Maps map (in the contact section) and, only after the User gives consent, the Google Ads tool for conversion measurement. These services are provided by Google Ireland Limited, whereby data may be transferred to Google LLC based in the United States; the transfer rules are described in point 7.
Public authorities. Data may be disclosed to authorised state bodies, including tax offices, the Social Insurance Institution (ZUS), as well as courts and law-enforcement bodies, solely in cases and to the extent arising from generally applicable law.
A separate matter is the situation in which the controller itself acts as a processor. When providing accounting and HR/payroll services to businesses (B2B), the controller processes the personal data of the Client's employees and associates on behalf of and at the instruction of that Client, who remains the controller of such data; the processing is then governed by a separate data processing agreement. To the extent that the controller uses further processors (sub-processors, e.g. the infrastructure and hosting provider, the KonektoSmart system or the accounting office) to perform such a service, further entrustment takes place on the basis of and within the limits of the Client's consent expressed in the data processing agreement, and the controller remains fully liable to the Client for the actions of those entities.
7. Transfers outside the European Economic Area (EEA)
The controller seeks to minimise transfers of personal data outside the EEA. Data processed in connection with e-mail and Website hosting (OVHcloud), document storage and exchange (Nextcloud), invoicing (KonektoSmart) and accounting services remains within the European Economic Area. Statistical data from the Umami tool is processed exclusively on the controller's own server and likewise does not leave the EEA.
A transfer outside the EEA may, however, be associated with the use of Google services, i.e. the Google Maps map in the contact section and, with the User's consent, the Google Ads tool for conversion measurement. This may result in transferring the IP address and online identifiers to Google LLC in the United States. The legal basis is, for the Google Maps map, Art. 6(1)(f) GDPR (legitimate interest in enabling Users to verify the Firm's location and plan their route), and for Google Ads, Art. 6(1)(a) GDPR (consent). Transfers take place with the safeguards provided for in Chapter V of the GDPR, in particular on the basis of Standard Contractual Clauses (SCC) approved by the European Commission.
8. Rights of data subjects
Every data subject has the right to access the data and obtain a copy of it and information about the processing (Art. 15 GDPR), the right to rectification of inaccurate data and its completion (Art. 16 GDPR), and the right to erasure of the data (Art. 17 GDPR, the “right to be forgotten”), whereby the latter is limited to the extent that processing is necessary to comply with a legal obligation, in particular during the retention period of accounting and tax records. The data subject also has the right to restriction of processing (Art. 18 GDPR), the right to data portability (Art. 20 GDPR) – provided that processing is based on consent or a contract and is carried out by automated means – as well as the right to object to processing based on a legitimate interest (Art. 21 GDPR). Where processing is based on consent, the User may withdraw it at any time, without affecting the lawfulness of processing carried out before its withdrawal.
The data subject also has the right to lodge a complaint with the supervisory authority, which in the Republic of Poland is the President of the Personal Data Protection Office (UODO), ul. Stanisława Moniuszki 1A, 00-014 Warsaw.
9. Data security and final provisions
The controller applies appropriate technical and organisational measures to ensure the security of the personal data processed, including encryption of connections (SSL certificate), access control to systems, and the use of e-mail and document-storage infrastructure located in European data centres, as well as protection against unauthorised access and loss of data.
The controller does not carry out automated decision-making producing legal effects on Users, nor advertising profiling (remarketing); the Google Ads tool is used solely for conversion measurement.
This Privacy Policy may change if legal provisions are amended or the scope of activity changes. Users will be informed of any material changes with appropriate notice.
Last updated: 13 September 2026.