POLITYKA PRYWATNOŚCI I INFORMACJA O PRZETWARZANIU DANYCH OSOBOWYCH

SERWIS veribu.io

Wersja: 1.2 Data wejścia w życie: 27 lipca 2026 r. Ostatnia aktualizacja: 27 lipca 2026 r.

Co się zmieniło w wersji 1.2 (audyt ryzyka prawnego): (a) sekcja 3.7 — dodano informację o przetwarzaniu danych w darmowej analizie przed założeniem Konta (art. 13 RODO w momencie zbierania, podstawa, okres do 30 dni); (b) sekcja 6 — doprecyzowano nieodwracalny charakter anonimizacji i status danych spseudonimizowanych; (c) sekcja 7.1 — dodano, że dane przekazane do Anthropic nie służą trenowaniu modeli dostawcy; (d) sekcja 8 — jako podstawę główną transferu do USA wskazano standardowe klauzule umowne (SCC), a EU-US Data Privacy Framework jako podstawę dodatkową; (e) sekcja 4 — podstawę „rozwoju Serwisu" odłączono od zgody z Regulaminu (rozwój na danych zanonimizowanych/zagregowanych).

1. Wprowadzenie

Niniejszy dokument (dalej: „Polityka") opisuje sposób, w jaki Veribu sp. z o.o. przetwarza dane osobowe oraz inne dane w związku z prowadzeniem serwisu internetowego https://veribu.io (dalej: „Serwis").

Polityka realizuje obowiązek informacyjny wynikający z art. 13 i 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (dalej: „RODO").

Polityka stanowi załącznik do Regulaminu Serwisu i powinna być czytana łącznie z nim.

2. Administrator danych

Administratorem Twoich danych osobowych jest:

Veribu sp. z o.o. ul. Stroma 5, 62-040 Puszczykowo KRS: 0000627816 NIP: 7831744362 Adres e-mail kontaktowy w sprawach danych osobowych: rodo@veribu.io

Veribu nie wyznaczył Inspektora Ochrony Danych. Wszelkie sprawy dotyczące przetwarzania danych osobowych należy kierować na adres rodo@veribu.io.

3. Jakie dane przetwarzamy

W ramach Serwisu przetwarzamy następujące kategorie danych:

3.1. Dane konta i identyfikacyjne

• adres e-mail i hasło (przechowywane wyłącznie w postaci zahaszowanej — bcrypt),
• imię i nazwisko lub nazwa firmy (jeśli zostały podane),
• dane do faktury (firma, NIP, adres, kod pocztowy),
• adres prowadzenia działalności i promień obsługi (address, postalCode, serviceRadiusKm),
• plan abonamentowy i historia płatności,
• saldo Kredytów.

3.2. Dane wprowadzane przez Klienta do formularzy analiz

• dane finansowe firmy: przychody, koszty stałe i zmienne, wynagrodzenia, ZUS, leasing, czynsz, marża, podatki,
• dane sprzedażowe i operacyjne: liczba klientów, średni paragon, sezonowość, struktura sprzedaży,
• dane kadrowe (zagregowane): liczba pracowników, struktura zatrudnienia, koszty pracy,
• dane lokalizacyjne (kod pocztowy, gmina, województwo),
• dane operacyjne specyficzne dla branży (np. ADR, RevPAR, obłożenie pokojowe w hotelach; średnie naprawy w warsztatach; itp.),
• dane klientów księgowego (dla planu ACCOUNTANT): firma, NIP, nazwa klienta, dane kontaktowe wprowadzone przez Klienta.

3.3. Dane wygenerowane przez Serwis

• treści Analiz (raporty),
• analizy trendów,
• oceny i komentarze Klienta dotyczące Analiz (Rating),
• historia korzystania z asystenta czatowego (zapytania i odpowiedzi).

3.4. Dane techniczne

• adres IP,
• typ przeglądarki, system operacyjny, rozdzielczość ekranu,
• cookies sesyjne i analityczne (szczegóły w sekcji „Cookies"),
• dzienniki dostępu (timestamps logowań, akcji w panelu).

3.5. Dane płatnicze

• Veribu nie przechowuje danych kart płatniczych ani danych dostępu do rachunków bankowych.
• Veribu otrzymuje od operatora Przelewy24 wyłącznie potwierdzenie transakcji, identyfikator zamówienia, kwotę i status. Dane karty są przetwarzane przez PayPro S.A. zgodnie z polityką tej firmy.

3.6. Dane uzyskane od osób trzecich

Veribu może uzyskać dodatkowe dane referencyjne dotyczące branż, lokalizacji i wynagrodzeń z publicznych źródeł (GUS Bank Danych Lokalnych, Eurostat) — są to dane nieidentyfikujące konkretnych Klientów.

3.7. Dane w darmowej analizie (przed założeniem Konta)

Jeżeli korzystasz z darmowej analizy bez zakładania Konta, wprowadzone przez Ciebie dane (m.in. dane finansowe i operacyjne firmy, a w trybie dla biur rachunkowych także NIP i deklarowane PKD) przetwarzamy w celu wygenerowania i przedstawienia Ci wyniku.

• Podstawa prawna: podjęcie działań na Twoje żądanie przed zawarciem umowy (art. 6 ust. 1 lit. b RODO), a w zakresie zapobiegania nadużyciom (jednorazowość darmowej analizy dla danego NIP) — prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO).
• Okres przechowywania: jeżeli nie założysz Konta, dane te przechowujemy nie dłużej niż 30 dni, a następnie usuwamy lub nieodwracalnie anonimizujemy.
• Skróconą informację o powyższym przedstawiamy również bezpośrednio przy formularzu darmowej analizy, wraz z odnośnikiem do pełnej treści niniejszej Polityki.

4. Cele i podstawy prawne przetwarzania

Twoje dane przetwarzamy w następujących celach i na następujących podstawach prawnych:

5. Zgody — dobrowolne i odwołalne

W Serwisie możesz wyrazić następujące odrębne, opcjonalne zgody:

1. Zgoda na udostępnianie pełnych danych partnerom — zgoda na przekazywanie Twoich danych firmowych (nie tylko zanonimizowanych) do instytucji finansowych, doradczych i innych partnerów Veribu w celu przedstawienia Ci ofert usług pokrewnych. Zgodę wyrażasz w odrębnym, domyślnie niezaznaczonym polu wyboru — przy rejestracji lub później w panelu Moje konto → Zgody. Zgoda ta jest niezależna od akceptacji Regulaminu, a jej brak nie ogranicza dostępu do Usług.
2. Zgoda marketingowa e-mail — zgoda na otrzymywanie informacji handlowych od Veribu oraz, w zakresie wskazanym osobno, od partnerów Veribu.
3. Zgoda na profilowanie marketingowe — zgoda na dopasowywanie propozycji usług na podstawie profilu Twojej aktywności w Serwisie.

Każdą zgodę możesz w każdej chwili wycofać poprzez panel Klienta (Moje konto → Zgody) lub wysyłając maila na adres rodo@veribu.io. Wycofanie zgody jest równie łatwe jak jej udzielenie i nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.

6. Anonimizacja i agregacja danych

1. Veribu prowadzi systematyczne procesy anonimizacji i agregacji Danych Klienta. Po przeprowadzeniu skutecznej anonimizacji dane przestają być danymi osobowymi w rozumieniu RODO i mogą być wykorzystywane bez ograniczeń wynikających z RODO.
2. Anonimizacja w Veribu polega w szczególności na: usunięciu identyfikatorów konta i firmy, usunięciu nazwy firmy i NIP, zaokrąglaniu/przedziałach wartości finansowych do poziomu uniemożliwiającego identyfikację, grupowaniu danych geograficznych do poziomu województwa lub regionu, łączeniu z danymi co najmniej kilkudziesięciu innych Klientów w tej samej branży.
3. Anonimizacja ma charakter nieodwracalny — po jej przeprowadzeniu Veribu nie dysponuje środkami umożliwiającymi ponowne przypisanie danych konkretnej osobie lub firmie, samodzielnie ani w połączeniu z innymi informacjami pozostającymi w dyspozycji Veribu. Zestawienia udostępniane partnerom podlegają dodatkowo progowi minimalnej liczebności grupy, poniżej którego dane nie są prezentowane.
4. Agregacja polega na łączeniu danych wielu Klientów w zestawienia statystyczne (np. mediana marży w branży X w województwie Y).
5. Dane spseudonimizowane (pozbawione bezpośrednich identyfikatorów, lecz nadal umożliwiające ponowną identyfikację) traktujemy jak dane osobowe — przechowujemy je zgodnie z okresami z sekcji 4 i nie udostępniamy ich partnerom bez podstawy prawnej wskazanej w sekcji 5.
6. Veribu zastrzega, że dane zanonimizowane i zagregowane mogą być wykorzystywane bezterminowo, również po rozwiązaniu umowy z Klientem, w tym do tworzenia benchmarków, raportów rynkowych, publikacji branżowych oraz do trenowania własnych modeli statystycznych Veribu (nie modeli dostawców zewnętrznych).

7. Odbiorcy danych

Twoje dane mogą być przekazywane następującym kategoriom odbiorców:

7.1. Podmioty przetwarzające dane na zlecenie Veribu (procesorzy)

Veribu zawiera umowy powierzenia przetwarzania danych osobowych (DPA) z następującymi podmiotami:

• Anthropic, PBC (USA) — dostawca modeli językowych Claude wykorzystywanych do generowania Analiz i działania asystenta czatowego. Dane przekazywane do Anthropic obejmują treść Twoich formularzy i Analiz w niezbędnym zakresie. Zgodnie z warunkami korzystania z interfejsu programistycznego (API) Anthropic dane te nie są wykorzystywane do trenowania ani ulepszania modeli Anthropic.
• PayPro S.A. (Polska) — operator Przelewy24, obsługa płatności.
• Hetzner Online GmbH (Niemcy) — dostawca infrastruktury serwerowej, na której uruchomiona jest aplikacja i baza danych.
• Google Ireland Limited (Irlandia, z transferem do Google LLC w USA) — dostawca usługi Google Analytics 4, wykorzystywanej do analizy ruchu w Serwisie. Dane przekazywane do Google obejmują dane techniczne przeglądarki, identyfikator cookie nadany przez Google, przybliżoną lokalizację (na poziomie miasta/regionu) oraz informacje o przeglądanych podstronach i źródle wejścia do Serwisu. Przekazywanie następuje wyłącznie po wyrażeniu przez Ciebie zgody — do czasu jej udzielenia skrypt Google nie jest w ogóle ładowany w Serwisie. Veribu nie przekazuje do Google treści formularzy analiz ani danych finansowych Klienta.
• Dostawca SMTP (w zakresie wysyłki maili transakcyjnych) — patrz aktualny wykaz dostępny pod https://veribu.io/podwykonawcy.
• Główny Urząd Statystyczny (GUS) — w zakresie pobierania publicznych danych referencyjnych (przepływ jednostronny, bez przekazywania danych Klienta).

7.2. Partnerzy Veribu

Dane mogą być przekazywane partnerom Veribu — w tym instytucjom finansowym, firmom leasingowym, ubezpieczycielom, firmom doradczym i innym partnerom — w zakresie i w sposób opisany w sekcji 4 i 5 niniejszej Polityki, tj.:

• dane zanonimizowane / zagregowane — w ramach prawnie uzasadnionego interesu administratora, bez konieczności dodatkowej zgody,
• dane pełne, umożliwiające identyfikację Klienta — wyłącznie po wyraźnej, dobrowolnej zgodzie Klienta (sekcja 5 ust. 1), niezależnej od akceptacji Regulaminu.

7.3. Organy publiczne

Veribu może być zobowiązane do przekazania danych organom państwowym (np. organy podatkowe, prokuratura, policja, Prezes UODO) na podstawie przepisów prawa.

7.4. Doradcy zewnętrzni Veribu

Kancelarie prawne, biuro rachunkowe, audytorzy — w zakresie niezbędnym do świadczenia usług na rzecz Veribu.

8. Transfer danych poza Europejski Obszar Gospodarczy (EOG)

1. Część przetwarzania danych odbywa się poza EOG, w szczególności w Stanach Zjednoczonych Ameryki (Anthropic, PBC oraz — w zakresie danych analitycznych i wyłącznie po wyrażeniu zgody na cookies analityczne — Google LLC).
2. Podstawą transferu danych do USA są:
   1. standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską, uzupełnione w razie potrzeby o dodatkowe środki zabezpieczające zgodnie z wymogami orzeczenia Schrems II — jako podstawa główna;
   2. dodatkowo, jeżeli dany odbiorca posiada aktywną certyfikację w ramach EU-US Data Privacy Framework, transfer może opierać się również na decyzji Komisji Europejskiej o adekwatności dla tego programu.
3. Kopie zastosowanych klauzul i informacja o aktualnym statusie certyfikacji odbiorców są dostępne na żądanie pod adresem rodo@veribu.io.

9. Twoje prawa

Na podstawie RODO przysługują Ci następujące prawa:

1. Prawo dostępu do swoich danych (art. 15 RODO) — możesz uzyskać kopię swoich danych przetwarzanych przez Veribu.
2. Prawo do sprostowania danych nieprawidłowych lub niekompletnych (art. 16 RODO).
3. Prawo do usunięcia danych („prawo do bycia zapomnianym", art. 17 RODO) — z zastrzeżeniem przepisów wymagających przechowywania danych (np. dane na fakturach przechowywane są przez okres wymagany przepisami podatkowymi).
4. Prawo do ograniczenia przetwarzania (art. 18 RODO).
5. Prawo do przenoszenia danych (art. 20 RODO) — w zakresie danych przetwarzanych w oparciu o zgodę lub umowę.
6. Prawo do sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO), w tym sprzeciwu wobec marketingu bezpośredniego.
7. Prawo do wycofania zgody w każdej chwili (art. 7 ust. 3 RODO) — bez wpływu na zgodność z prawem przetwarzania dokonanego przed wycofaniem.
8. Prawo do niepodlegania decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu (art. 22 RODO) — Veribu nie podejmuje wobec Klientów żadnych decyzji wywołujących skutki prawne wyłącznie w oparciu o zautomatyzowane przetwarzanie. Treść Analizy ma charakter informacyjny i nie jest decyzją wywołującą skutki prawne wobec Klienta.
9. Prawo wniesienia skargi do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl.

W celu realizacji praw napisz do nas na rodo@veribu.io — w treści wskaż swoje konto (adres e-mail) oraz prawo, z którego chcesz skorzystać. Odpowiedzi udzielamy w terminie do 30 dni od otrzymania kompletnego żądania (z możliwością przedłużenia do 90 dni w przypadkach złożonych — z uprzednim poinformowaniem).

10. Okres przechowywania danych

Szczegółowe okresy przechowywania znajdują się w tabeli w sekcji 4. Zasady ogólne:

• Dane konta i historia Analiz — przez czas obowiązywania umowy + 3 lata po jej rozwiązaniu (na potrzeby dochodzenia/obrony roszczeń).
• Dane z darmowej analizy bez założenia Konta — do 30 dni, po czym usuwane lub nieodwracalnie anonimizowane.
• Dane na fakturach i w księgach rachunkowych — 5 lat od końca roku rozliczeniowego.
• Dane zanonimizowane i zagregowane — bezterminowo.
• Dane techniczne i logi bezpieczeństwa — do 12 miesięcy.
• Dane przetwarzane na podstawie zgody — do wycofania zgody, nie dłużej jednak niż 5 lat od jej udzielenia, po czym zgoda jest weryfikowana lub dane usuwane.

10.1. Kopie zapasowe a usunięcie danych

Veribu wykonuje codzienne kopie zapasowe bazy danych z retencją do 30 dni. Kopie te są szyfrowane i niedostępne poza procedurą odtwarzania awaryjnego.

Konsekwencja: po realizacji prawa do bycia zapomnianym (art. 17 RODO) lub po usunięciu Konta na żądanie Klienta — Twoje dane są usuwane z aktywnej bazy danych zgodnie z procedurą opisaną wyżej, ale mogą pozostać w kopiach zapasowych przez okres do 30 dni, po czym kopie te są nadpisywane lub usuwane w normalnym cyklu retencji.

W tym czasie dane w kopiach zapasowych:

• nie są dostępne dla pracowników Veribu w trybie operacyjnym,
• nie są przetwarzane do żadnych celów,
• nie są udostępniane podmiotom trzecim,
• mogą zostać odczytane wyłącznie w przypadku awarii systemu wymagającej odtworzenia bazy.

Jeśli w okresie 30 dni nastąpi odtworzenie bazy z kopii zapasowej zawierającej Twoje dane — Veribu niezwłocznie po odtworzeniu uruchamia procedurę ponownego usunięcia tych danych. Ten kompromis jest akceptowany przez praktykę nadzorów (UODO, EROD) jako technicznie konieczny dla ciągłości działania.

11. Bezpieczeństwo danych

Veribu stosuje techniczne i organizacyjne środki ochrony danych adekwatne do ryzyka, w tym m.in.:

• szyfrowanie haseł algorytmem bcrypt,
• szyfrowanie wrażliwych sekretów (klucze API integracji) algorytmem AES-256-GCM w bazie danych,
• transmisję danych między przeglądarką a serwerem w protokole HTTPS/TLS,
• ograniczanie dostępu do bazy danych do uprawnionych osób (zasada wiedzy koniecznej),
• regularne kopie zapasowe bazy danych,
• monitorowanie logów dostępowych i wykrywanie nadużyć,
• ograniczenia liczby prób logowania (rate limit),
• weryfikację sygnatur webhooków płatniczych.

Mimo zastosowanych środków Veribu nie może zagwarantować absolutnego bezpieczeństwa przesyłania danych w sieci Internet. Klient korzysta z Serwisu na własne ryzyko technologiczne w zakresie wynikającym z natury sieci publicznej.

12. Pliki cookies i podobne technologie

1. Serwis wykorzystuje pliki cookies:
   1. niezbędne — do działania Serwisu (sesja użytkownika, wybrana wersja graficzna, zapamiętana decyzja o cookies) — nie wymagają zgody, podstawą jest niezbędność do świadczenia Usługi;
   2. analityczne — Google Analytics 4 (dostawca: Google Ireland Limited), do analizy ruchu, źródeł wejść i skuteczności działań reklamowych — wymagają zgody;
   3. marketingowe — do remarketingu i dopasowywania reklam — wymagają zgody.
2. Do czasu wyrażenia zgody skrypt Google Analytics nie jest ładowany w Serwisie. Nie stosujemy modelu, w którym narzędzie analityczne uruchamia się od razu, a zgoda jedynie rozszerza jego uprawnienia — brak decyzji oznacza brak jakiegokolwiek kontaktu Twojej przeglądarki z serwerami Google.
3. Klient wyraża lub odmawia zgody w banerze cookies wyświetlanym przy pierwszej wizycie. Obie odpowiedzi wymagają jednego kliknięcia i są równorzędne.
4. Wycofanie zgody: Klient może w każdej chwili zmienić swoją decyzję, korzystając z odnośnika „Ustawienia prywatności" w stopce Serwisu. Wycofanie zgody jest równie łatwe jak jej udzielenie i nie wpływa na zgodność z prawem przetwarzania dokonanego przed wycofaniem.
5. Własny licznik odwiedzin (bez zgody). Niezależnie od Google Analytics Serwis prowadzi własną, ograniczoną statystykę odwiedzin. Nie zapisujemy w niej Twojego adresu IP ani żadnego identyfikatora pozwalającego Cię rozpoznać — identyfikator przeglądarki jest przed zapisem nieodwracalnie skracany (funkcja skrótu z sekretem po stronie serwera). Licznik respektuje ustawienie „Do Not Track" w przeglądarce. Ze względu na brak możliwości identyfikacji osoby dane te nie stanowią danych osobowych i nie wymagają zgody; służą wyłącznie do liczenia ruchu w Serwisie.
6. Klient może w każdej chwili usunąć cookies w ustawieniach swojej przeglądarki. Usunięcie cookies niezbędnych może uniemożliwić poprawne działanie Serwisu.

13. Dane Klientów Klienta (plan ACCOUNTANT)

1. W ramach planu ACCOUNTANT Klient (biuro rachunkowe lub doradca) wprowadza do Serwisu dane dotyczące własnych klientów (AccountantClient).
2. W stosunku do danych klientów Klienta — Klient (biuro/doradca) jest administratorem danych, a Veribu występuje wyłącznie jako podmiot przetwarzający te dane na zlecenie Klienta.
3. Zasady powierzenia przetwarzania określa odrębna umowa powierzenia przetwarzania danych osobowych (DPA) zawierana z Klientem w momencie aktywacji planu ACCOUNTANT (lub w postaci załącznika do Regulaminu, dostępnego pod https://veribu.io/dpa).
4. Klient odpowiada za to, aby posiadał odpowiednią podstawę prawną do przekazania danych swoich klientów do Veribu (umowa, zgoda, prawnie uzasadniony interes).

14. Zmiany Polityki

1. Veribu zastrzega prawo do zmiany Polityki w celu odzwierciedlenia zmian prawnych, technologicznych lub organizacyjnych.
2. O istotnych zmianach Polityki informujemy Klientów drogą e-mailową na adres przypisany do Konta oraz poprzez komunikat w Serwisie — z 14-dniowym wyprzedzeniem.
3. Aktualna wersja Polityki jest zawsze dostępna pod adresem https://veribu.io/polityka-prywatnosci. Historia wersji jest udostępniana na żądanie.

15. Słowniczek

• RODO / GDPR — rozporządzenie 2016/679, ogólne rozporządzenie o ochronie danych.
• Dane osobowe — informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Dane jednoosobowej działalności gospodarczej i dane reprezentantów spółek są danymi osobowymi.
• Administrator — podmiot decydujący o celach i sposobach przetwarzania danych.
• Procesor — podmiot przetwarzający dane na zlecenie administratora.
• Anonimizacja — proces, w wyniku którego nie można już zidentyfikować osoby fizycznej. Dane zanonimizowane nie podlegają RODO.
• Pseudonimizacja — usunięcie bezpośrednich identyfikatorów, lecz nadal pozostawiające możliwość ponownej identyfikacji. Dane spseudonimizowane nadal podlegają RODO.
• EOG — Europejski Obszar Gospodarczy.

Veribu sp. z o.o. ul. Stroma 5, 62-040 Puszczykowo KRS 0000627816, NIP 7831744362 rodo@veribu.io

Wersja Polityki: 1.2 z dnia 27 lipca 2026 r.