Polityka prywatności — Ksefly

Wersja 1.0 · obowiązuje od 1 października 2026 r.

Administrator danych: developNET Maciej Matysiewski (marka: develop.NET), ul. Nowowiejska 6/6, 00-649 Warszawa, Polska. NIP 1182238190, REGON 521446646. Kontakt w sprawach danych osobowych: privacy@ksefly.app.

Ksefly („aplikacja”, „usługa”) pomaga polskim podatnikom wystawiać, odbierać i przeglądać faktury w Krajowym Systemie e-Faktur (KSeF). Ksefly jest produktem niezależnym i niepowiązanym z Ministerstwem Finansów, Krajową Administracją Skarbową ani żadnym innym organem państwowym. Nazwa KSeF jest używana wyłącznie opisowo.

Ta polityka opisuje stan faktyczny usługi na dzień wskazany wyżej — to, co system naprawdę robi, a nie to, co brzmiałoby wygodnie. Wersja polska jest wersją rozstrzygającą; angielskie tłumaczenie pod adresem /en/privacy ma charakter informacyjny.

W skrócie

Nie przechowujemy Twojego imienia, nazwiska ani adresu e-mail. Konto to wyłącznie identyfikator z Sign in with Apple — i ten identyfikator trzymamy zaszyfrowany.
Nie sprzedajemy danych, nie wyświetlamy reklam, nie śledzimy Cię w innych aplikacjach ani serwisach. W aplikacji nie ma żadnego zewnętrznego SDK analitycznego ani identyfikatora reklamowego.
Twoje faktury są u nas, nie tylko na urządzeniu. Na naszych serwerach leży pełna projekcja każdej faktury: nazwy i adresy obu stron, kwoty, numery, daty, numer KSeF, a także Twoja własna notatka z akceptacji.
Treść faktur trafia do modelu AI w USA. Jednozdaniowy opis („po co jest ta faktura”), który widzisz pod pozycją na liście, powstaje w modelu Anthropic. Wysyłamy do niego nazwy sprzedawcy i nabywcy, kwotę oraz nazwy pozycji. Dzieje się to tylko po włączeniu przełącznika „Ksefly Intelligence”, który jest domyślnie wyłączony — szczegóły w §4.
Prosimy o lokalizację, jeśli przyjmujesz płatności kartą zbliżeniowo, samym iPhone’em. Wymaga tego sieć płatnicza; my sami nie odczytujemy współrzędnych — robi to biblioteka Stripe.
Możesz usunąć konto w aplikacji. Usuwamy wtedy niemal wszystko — z wyjątkami, które wymieniamy uczciwie w §9.

1. Jakie dane przetwarzamy i gdzie one leżą

Poniżej każda klasa danych z odpowiedzią na trzy pytania: co, gdzie leży i czy jest zaszyfrowana u nas w bazie. „Nasze serwery” oznaczają Microsoft Azure w regionie Poland Central (Polska) — tak samo dla środowiska produkcyjnego i testowego; „urządzenie” oznacza Twojego iPhone’a.

1.1. Konto

Identyfikator użytkownika z Sign in with Apple (tzw. sub — nieodwracalny identyfikator nadany przez Apple wyłącznie dla tej aplikacji), data założenia konta i data ostatniej zmiany.

Nie przechowujemy Twojego imienia, nazwiska ani adresu e-mail. Aplikacja prosi Apple o adres e-mail przy logowaniu i adres ten przechodzi przez nasz serwer w tokenie tożsamości, ale nie jest nigdzie zapisywany — odczytujemy z tokenu wyłącznie identyfikator.

Trzymamy też token odświeżający Apple, wyłącznie po to, by przy usunięciu konta móc cofnąć autoryzację po stronie Apple.

Gdzie: nasze serwery. Szyfrowanie: tak — identyfikator i token Apple są szyfrowane (AES-256-GCM). Obok identyfikatora leży deterministyczny indeks wyszukiwawczy, niezbędny, by odnaleźć Twoje konto przy kolejnym logowaniu; oznacza to, że po stronie serwera możliwe jest dopasowanie po dokładnej wartości tego identyfikatora.

1.2. Kontekst podatnika (firma, w imieniu której działasz)

NIP, nazwa wyświetlana, sposób uwierzytelnienia w KSeF, znaczniki synchronizacji oraz — jeśli korzystasz z płatności — identyfikatory konta Stripe i stan jego uprawnień.

Gdzie: nasze serwery i urządzenie. Szyfrowanie: częściowe — NIP jest zaszyfrowany (z indeksem wyszukiwawczym), natomiast nazwa wyświetlana i pola dotyczące Stripe są zapisane zwykłym tekstem.

1.3. Faktury — projekcja na naszych serwerach

Dla każdej faktury — wystawionej i otrzymanej — przechowujemy u siebie:

kto — NIP i nazwa sprzedawcy oraz nabywcy, adresy obu stron;
ile — kwoty netto, VAT i brutto wraz z walutą;
kiedy i co to za dokument — numer faktury (P_2), numer KSeF, typ i status, daty wystawienia i sprzedaży, skrót SHA-256 dokumentu, dane korekty (numer i data faktury korygowanej, przyczyna korekty) oraz fakty płatnicze (termin, data zapłaty, rodzaj płatności, link płatniczy);
co dopisaliśmy do tego my albo Ty — Twoją własną notatkę z akceptacji lub odrzucenia faktury zakupowej oraz wygenerowany przez AI jednowierszowy opis (§4).

Te dwie ostatnie pozycje najczęściej zaskakują, więc mówimy je osobno, a nie na końcu wyliczenia.

Na urządzeniu kopia jest szersza: dochodzą pozycje faktury, numer rachunku, kurs waluty, uwagi, podstawa zwolnienia i okres sprzedaży.

Szyfrowanie: tylko oba numery NIP. Nazwy stron, adresy, wszystkie kwoty, numer faktury, Twoja notatka i opis AI leżą w bazie zwykłym tekstem. Sama baza jest dostępna wyłącznie przez prywatny punkt końcowy z naszej sieci, a szyfrowanie magazynu zapewnia platforma Azure — ale na poziomie kolumn te pola nie są szyfrowane.

1.4. Sam dokument faktury (XML FA(3))

Pełny ustrukturyzowany dokument — obie strony, wszystkie pozycje, kwoty, warunki płatności.

Gdzie: w KSeF oraz na Twoim urządzeniu. Nie przechowujemy XML-a faktur na naszych serwerach; pobieramy go z KSeF, gdy jest potrzebny, i przekazujemy do aplikacji. Aplikacja zachowuje pobrany dokument na Twoim iPhonie, żeby nie pobierać go ponownie przy każdym otwarciu faktury i przy każdym eksporcie — zapisujemy wyłącznie dokumenty, po które rzeczywiście sięgnąłeś, nigdy „na zapas”. Plik jest zaszyfrowany mechanizmem ochrony danych systemu iOS i znika przy wylogowaniu, przy usunięciu firmy oraz przy odinstalowaniu aplikacji. Odczytane pozycje faktury zapisujemy w pamięci podręcznej na urządzeniu.

1.5. UPO — urzędowe poświadczenie odbioru

Cały dokument UPO w formacie XML — nazwa podmiotu przyjmującego (Ministerstwo Finansów), numer referencyjny, a dla każdego potwierdzonego dokumentu: numer KSeF, numer faktury, skrót dokumentu i znaczniki czasu. UPO nie zawiera odrębnego pola z nazwą ani NIP-em podatnika — Twój NIP występuje w nim wyłącznie jako część numeru KSeF każdej potwierdzonej faktury (numer KSeF zaczyna się od NIP-u wystawcy). Danych Twoich kontrahentów w UPO nie ma wcale.

Gdzie: nasze serwery (przechowujemy go u siebie, żeby był dostępny bez pytania KSeF za każdym razem) oraz Twoje urządzenie, na tych samych zasadach co dokument faktury w §1.4: zapisujemy UPO, które już otworzyłeś, chronimy je mechanizmem ochrony danych iOS i usuwamy przy wylogowaniu, przy usunięciu firmy oraz przy odinstalowaniu aplikacji. Szyfrowanie u nas: nie — na naszym serwerze UPO leży zwykłym tekstem.

1.5a. Kopia dokumentów w Twoim iCloud (domyślnie wyłączona)

W Ustawieniach możesz włączyć synchronizację dokumentów z iCloud. Po jej włączeniu dokumenty opisane w §1.4 i §1.5 — XML faktur i UPO, które aplikacja już pobrała — są kopiowane do Twojego własnego konta iCloud, do własnego folderu Ksefly (niewidocznego w aplikacji Pliki). Dzięki temu drugie Twoje urządzenie nie musi pobierać ich ponownie.

To nie jest przekazanie danych nam ani przez nas. Kopia powstaje między Twoim iPhonem a Twoim iCloud; my jej nie widzimy, nie mamy do niej dostępu i nie możemy jej odczytać. Warunki przechowywania danych w iCloud określa Twoja umowa z Apple, a nie niniejsza polityka — z tego samego powodu kopia ta nie znika przy usunięciu konta Ksefly: nie jest nasza i nie możemy jej usunąć. Usuwasz ją sam, wyłączając przełącznik (kopie XML i UPO; pliki dodane do faktur — §1.5b) albo kasując dane aplikacji w ustawieniach iCloud.

Przełącznik jest domyślnie wyłączony i dopóki go nie włączysz, nic do iCloud nie trafia. Jego wyłączenie usuwa kopie z iCloud — tak samo jak wyłączenie indeksowania Spotlight czyści indeks wyszukiwania. Nic przy tym nie ginie: dokumenty zostają na tym iPhonie, a ich źródłem pozostaje KSeF, więc drugie urządzenie pobierze je w razie potrzeby z powrotem. Podpis przełącznika mówi Ci o tym, zanim go dotkniesz.

Podstawa prawna: art. 6 ust. 1 lit. b RODO — wykonanie umowy, w zakresie w jakim to my uruchamiamy kopiowanie na Twoje żądanie. Samo przechowywanie w iCloud odbywa się już w Twojej relacji z Apple.

1.5b. Pliki dodane do faktur — tylko w Twoim iCloud

Do faktury możesz dodać własne pliki — zdjęcie, zeskanowany dokument albo plik z iPhone’a. Taki plik nie jest częścią faktury. Trafia wyłącznie do Twojego konta iCloud, do folderu Ksefly; nigdy nie wysyłamy go na nasze serwery, do Sejfu, do KSeF, do kontrahenta ani do funkcji AI i nigdy do nas nie trafia. Tak jak kopia z §1.5a nie jest to udostępnienie nam ani przez nas. Zdjęcie zapisujemy na nowo, bez danych o miejscu jego wykonania (GPS); plik PDF trafia tam bez zmian.

Pliki dodasz i zobaczysz tylko przy włączonej synchronizacji dokumentów z iCloud (§1.5a), na urządzeniach zalogowanych do tego samego konta Apple. Wyłączenie przełącznika ukrywa je w Ksefly i zostawia w Twoim iCloud — na wszystkich tych urządzeniach, bo wyłączenie na jednym z nich wyłącza synchronizację także na pozostałych; na każdym wracają, gdy włączysz na nim przełącznik ponownie. Plików nie widać w aplikacji Pliki; usuwasz je w Ksefly, pojedynczo, albo usuwając dane Ksefly w ustawieniach iCloud — co usuwa też kopie z §1.5a. Nie znikają po usunięciu konta Ksefly ani po odłączeniu firmy: zostają w Twoim iCloud i wracają na te same faktury, gdy podłączysz tę firmę ponownie z tym samym kontem Apple.

Podstawa prawna: art. 6 ust. 1 lit. b RODO — w zakresie, w jakim zapis uruchamiamy na Twoje żądanie; samo przechowywanie w iCloud należy do Twojej relacji z Apple.

1.6. Sejf danych użytkownika (kopia zapasowa tego, co wpisujesz i zapisujesz w aplikacji)

Wszystko, co tworzysz w aplikacji, jest natychmiast kopiowane na nasze serwery, żeby przetrwało zmianę urządzenia i wróciło po ponownym zalogowaniu. Obejmuje to:

kartotekę kontrahentów — nazwa, NIP, adres, REGON, forma prawna, status VAT, Twoja własna nazwa dla kontrahenta, jego rachunki bankowe i adresy e-mail;
katalog produktów i kategorie — nazwy, ceny, stawki VAT, jednostki;
szablony faktur;
rachunki płatnicze — etykieta, numer rachunku (NRB/IBAN), wynik sprawdzenia na białej liście, oznaczenie MPP;
księgę metod płatności;
prywatne notatki do faktur sprzedaży — to, co sam zapiszesz przy wystawionej przez siebie fakturze; notatka nie jest częścią faktury i nie trafia do KSeF, do kontrahenta, do paczki dla księgowej ani do modelu AI;
dzień ostatniego przypomnienia o płatności — przy fakturze sprzedaży zapisujemy, kiedy (dzień i godzina) ostatnio wysłałeś z aplikacji przypomnienie kontrahentowi; samo przypomnienie wysyłasz sam, z własnej poczty albo komunikatora, i jego treść nie przechodzi przez nasze serwery;
powtarzane faktury — gdy wybierzesz „Powtarzaj co miesiąc”: która faktura jest powtarzana, dzień miesiąca i miesiąc, od którego powtarzanie się zaczyna, kiedy powtarzanie włączyłeś i wyłączyłeś, a dla każdego miesiąca — identyfikator wysyłki faktury za ten miesiąc i chwilę tej wysyłki; treści faktury (nabywcy, pozycji, kwot) nie zapisujemy tu osobno — aplikacja bierze ją z faktury już wystawionej; samo powtarzanie niczego nie wysyła do KSeF;
ustawienia — schemat numeracji wraz z licznikiem, forma opodatkowania, układ Pulsu, styl wizytówki, szablon wiadomości e-mail wraz z Twoim podpisem HTML, wygląd faktury oraz logo Twojej firmy (zapisane jako obraz).

Gdzie: urządzenie (kopia nadrzędna) i nasze serwery. Szyfrowanie: tak — cała zawartość każdego rekordu jest szyfrowana (AES-256-GCM). Nazwa kolekcji, identyfikator rekordu i czas jego zmiany pozostają jawne, tak samo jak to, do którego konta (a gdy rekord dotyczy firmy — do której firmy) należy — przy prywatnej notatce i przy przypomnieniu o płatności identyfikator wskazuje fakturę, a przy przypomnieniu ten czas to właśnie chwila przypomnienia; przy powtarzanej fakturze identyfikator rekordu wskazuje fakturę, od której zaczęło się powtarzanie, a przy miesiącu powtórzenia — tę fakturę i miesiąc (np. „….2026-10”), więc jawne jest, za które miesiące wysłałeś fakturę z powtórzenia; czas zmiany to chwila włączenia, wyłączenia albo wysyłki. Usunięcie rekordu jest zapisywane jako znacznik usunięcia, żeby zsynchronizować się z Twoimi pozostałymi urządzeniami.

Jeden wyjątek warty wskazania: przy wysyłaniu powiadomienia o nowej fakturze nasz serwer odczytuje kartotekę kontrahentów, aby w treści powiadomienia pokazać Twoją własną nazwę kontrahenta zamiast nazwy z rejestru.

1.7. Zaplanowane i zakolejkowane wysyłki

Kompletna treść faktury czekającej na wysyłkę — obie strony wraz z adresami, wszystkie pozycje, kwoty, numer, terminy, rachunek, uwagi.

Gdzie: nasze serwery. Szyfrowanie: tak (cała treść). Komunikat o błędzie wysyłki jest zapisany jawnie i może cytować odpowiedź KSeF.

1.8. Poświadczenia KSeF

Token sesji KSeF, token odświeżający i token autoryzacyjny KSeF wraz z NIP-em, do którego należy — ten ostatni po to, by odnawiać sesję bez angażowania Ciebie.

Gdzie: nasze serwery. Szyfrowanie: tak, szyfrowaniem kopertowym (klucz danych opakowany kluczem platformy + AES-GCM). Poświadczenia nigdy nie wracają do aplikacji i nigdzie nie są zapisane w postaci jawnej.

1.9. Urządzenie i powiadomienia

Token powiadomień push Apple (APNs), platforma, data ostatniej aktywności i Twoje ustawienie „szczegóły w powiadomieniach”. Gdzie: nasze serwery. Szyfrowanie: token jest zaszyfrowany.

Tokeny sesji aplikacji przechowujemy u siebie wyłącznie jako skróty (nigdy w postaci odtwarzalnej). Token dostępu żyje 30 minut, token odświeżający 30 dni.

1.10. Płatności

Dla każdej płatności przyjętej przez aplikację: identyfikatory Stripe, kwota, waluta, nasza prowizja, status, rodzaj metody i portfela, adres potwierdzenia (paragonu) oraz marka karty i cztery ostatnie cyfry.

Nigdy nie widzimy pełnego numeru karty, daty ważności ani kodu CVC — dane karty odczytuje biblioteka Stripe na urządzeniu i przesyła je wprost do Stripe.

Gdzie: nasze serwery i Stripe. Szyfrowanie: nie — te pola leżą zwykłym tekstem, w tym marka karty i cztery ostatnie cyfry.

1.11. Lokalizacja

Aplikacja prosi o dostęp do lokalizacji „podczas używania” i tylko w jednym celu: przyjmowania płatności kartą zbliżeniowo, samym iPhone’em. Sieć płatnicza rejestruje, gdzie odbyła się płatność stacjonarna, i biblioteka Stripe Terminal nie działa bez tego uprawnienia.

Kod Ksefly sam nie odczytuje współrzędnych — sprawdza wyłącznie, czy zgoda została udzielona. Lokalizację odczytuje i przekazuje biblioteka Stripe. Lokalizacja nie trafia na nasze serwery. Jeśli nie przyjmujesz płatności zbliżeniowych telefonem, możesz odmówić — reszta aplikacji działa normalnie.

Z tego samego powodu aplikacja deklaruje dostęp do Bluetooth: biblioteka płatnicza sprawdza jego dostępność. Ksefly nie łączy się z żadnym zewnętrznym czytnikiem — czytnikiem jest sam iPhone.

1.12. Diagnostyka (dobrowolna, domyślnie wyłączona)

Jeśli włączysz Ustawienia → Diagnostyka, aplikacja liczy, które funkcje są używane (np. „wysłano fakturę”). Zdarzenie zawiera wyłącznie nazwę funkcji, znacznik czasu, wersję aplikacji i systemu oraz losowy identyfikator instalacji, tworzony w chwili włączenia i kasowany w chwili wyłączenia (ponowne włączenie tworzy nowy, więc historii nie da się połączyć).

Zdarzenia nie zawierają Twojego NIP-u, konta, faktur ani ich treści, a zapisywany wiersz dziennika nie wskazuje użytkownika. Uczciwe zastrzeżenie: samo żądanie jest wysyłane z zalogowanej sesji, więc na poziomie transportu nie jest anonimowe — anonimowy jest zapis, który po nim zostaje.

1.13. Dzienniki techniczne

Nasz serwer zapisuje standardową telemetrię działania (żądania, zależności, błędy, metryki) do Azure Application Insights / Log Analytics w tym samym regionie. Nie logujemy celowo NIP-ów, nazw stron ani treści faktur; niektóre ostrzeżenia zawierają wewnętrzny identyfikator użytkownika.

1.14. Czego NIE zbieramy

Kontaktów, zdjęć, mikrofonu, aparatu, danych o zdrowiu, historii przeglądania, identyfikatora reklamowego. W aplikacji nie ma zewnętrznych SDK analitycznych, atrybucyjnych ani do raportowania awarii. Strona ksefly.app nie ustawia ciasteczek i nie prowadzi analityki.

Nie twierdzimy natomiast, że nie zbieramy lokalizacji — patrz §1.11.

2. Po co przetwarzamy dane i na jakiej podstawie prawnej

Każdy cel ma poniżej własną podstawę prawną; nie powołujemy się na Twój obowiązek podatkowy tak, jakby był obowiązkiem Ksefly. Odwołania dotyczą art. 6 ust. 1 RODO.

Cel	Jakie dane	Podstawa prawna
Prowadzenie konta i uwierzytelnianie	konto (§1.1), tokeny sesji	lit. b — wykonanie umowy o świadczenie usługi
Wystawianie, wysyłanie i odbieranie faktur przez KSeF	kontekst podatnika, treść faktury, poświadczenia KSeF, UPO	lit. b — wykonanie umowy
Prezentowanie i wyszukiwanie faktur w aplikacji	projekcja faktur (§1.3)	lit. b — wykonanie umowy
Kopia zapasowa i synchronizacja Twoich kartotek i ustawień między urządzeniami	sejf danych (§1.6)	lit. b — wykonanie umowy
Sprawdzanie kontrahentów w rejestrach publicznych (Biała lista, GUS, VIES)	NIP, numer rachunku	lit. b — wykonanie umowy, na Twoje żądanie
Powiadomienia o nowych fakturach i statusie wysyłki	token urządzenia, nazwa kontrahenta i kwota (§6)	lit. b — wykonanie umowy
Przyjmowanie płatności za faktury i pobranie naszej prowizji	dane płatności (§1.10), lokalizacja przy płatnościach zbliżeniowych (§1.11)	lit. b — wykonanie umowy
Bezpieczeństwo usługi, diagnostyka awarii, przeciwdziałanie nadużyciom	dzienniki techniczne (§1.13)	lit. f — prawnie uzasadniony interes polegający na utrzymaniu usługi w działaniu i zapobieganiu nadużyciom (motyw 49 RODO)
Dobrowolna diagnostyka użycia funkcji	§1.12	lit. a — Twoja zgoda (przełącznik w Ustawieniach)
Zdanie „Puls” pisane przez AI	profil biznesowy bez nazw (§4.2)	lit. a — Twoja zgoda (przełącznik „Ksefly Intelligence”, domyślnie wyłączony)
Jednowierszowy opis faktury pisany przez AI	nazwy stron, kwota, nazwy pozycji (§4.1)	lit. a — Twoja zgoda (ten sam przełącznik „Ksefly Intelligence”, domyślnie wyłączony; wyłączenie kasuje wszystko, co AI napisało)
Notatka księgowa pisana przez AI (na Twoje kliknięcie)	nazwa sprzedawcy, kwota, nazwy pozycji (§4.3)	lit. a — Twoja zgoda (ten sam przełącznik „Ksefly Intelligence”, domyślnie wyłączony) potwierdzona Twoim kliknięciem
Rozpatrywanie Twoich żądań z RODO, obrona przed roszczeniami	korespondencja, niezbędne dane konta	lit. c — obowiązek prawny (art. 12 RODO); lit. f — ustalenie i obrona roszczeń

3. Odbiorcy danych

Pełna lista odbiorców — łącznie ze Stripe, Anthropic, Sign in with Apple i Application Insights — wygląda tak:

Podmioty przetwarzające (działają na nasze polecenie):

Kto	Co do niego trafia	Gdzie
Microsoft Azure — hosting, baza danych, magazyn kluczy, dzienniki	cały zbiór danych po stronie serwera	Poland Central (Polska)
Azure Static Web Apps — strona ksefly.app	wyłącznie metadane żądań odwiedzających; żadnych danych konta	West Europe (Holandia)
Anthropic (umowa: Anthropic Ireland, Limited) — model językowy	to, co opisuje §4	USA
Azure Communication Services	wyłącznie nasza własna poczta serwisowa (przypomnienie o wygasającym kluczu). Żadnych danych użytkowników	—

Apple występuje w trzech różnych rolach: jako dostawca Sign in with Apple (prowadzi logowanie i przekazuje nam identyfikator), jako operator powiadomień push APNs (patrz §6) oraz jako sprzedawca subskrypcji w App Store — tu Apple jest samodzielnym administratorem, a my nie otrzymujemy żadnych danych płatniczych.

Stripe ma podwójną rolę: jest podmiotem przetwarzającym w zakresie obsługi płatności dla platformy, a jednocześnie samodzielnym administratorem w zakresie własnych obowiązków — przeciwdziałania oszustwom, wymogów regulacyjnych i zgodności. Sprzedawcą (merchantem) jest Twoja firma, a nie Ksefly: konto Stripe należy do Twojego kontekstu podatnika, a środki nigdy nie przechodzą przez rachunek Ksefly. Do Stripe trafiają: dane firmy i adres działalności podane w formularzu Stripe (wypełniasz go bezpośrednio u nich — nie podpowiadamy niczego), kwota i waluta płatności, nasza prowizja, numer faktury jako nazwa pozycji, nasze identyfikatory techniczne (w tym identyfikator użytkownika Ksefly), dane karty odczytane na urządzeniu oraz lokalizacja przy płatności stacjonarnej. Nie przekazujemy Stripe adresu e-mail Twojego klienta.

Samodzielni administratorzy działający z własnego umocowania ustawowego (kierujemy do nich zapytania, gdy korzystasz z danej funkcji):

KSeF / Ministerstwo Finansów — otrzymuje kompletny dokument faktury i jest jedynym miejscem, w którym ten dokument jest przechowywany;
Biała lista podatników VAT (MF) — NIP, a przy sprawdzeniu rachunku para NIP + numer rachunku;
GUS BIR — NIP; w odpowiedzi przychodzą dane rejestrowe firmy;
VIES (Komisja Europejska) — numer VAT UE;
NBP — wyłącznie kod waluty i data; żadnych danych identyfikujących.

Od każdego podmiotu przetwarzającego wymagamy zapewnienia ochrony danych na poziomie co najmniej równym opisanemu w tej polityce, na podstawie umowy powierzenia lub równoważnych warunków dostawcy. Te umowy są zawarte przez akceptację warunków usług, które je inkorporują: Microsoft Products and Services DPA, umowa powierzenia Anthropic (przez odesłanie w Commercial Terms) oraz postanowienia o ochronie danych w Stripe Services Agreement.

4. Sztuczna inteligencja

Trzy funkcje Ksefly korzystają z modelu językowego dostarczanego przez Anthropic (podmiot umowny dla klienta z EOG: Anthropic Ireland, Limited; przetwarzanie w USA). Używany model to claude-haiku-4-5, wywoływany przez nasz serwer (Twoje urządzenie nigdy nie łączy się z Anthropic bezpośrednio, a klucz API nie opuszcza serwera). Teksty, które opisujemy niżej, są wygenerowane przez sztuczną inteligencję i mogą być błędne — nie są poradą podatkową ani księgową.

4.1. Jednowierszowy opis faktury („po co jest ta faktura”)

Co wysyłamy: nazwę sprzedawcy, nazwę nabywcy, kwotę brutto i walutę oraz nazwy pozycji faktury (do 20 pozycji, z ilością i jednostką). Jeżeli faktura ma NIP nabywcy, dołączamy dodatkowo do ośmiu wcześniejszych opisów wystawionych dla tej samej pary kontrahentów, żeby nazewnictwo było spójne.

Oznacza to, że nazwa nabywcy — również nazwisko konsumenta na fakturze B2C — oraz to, co zostało kupione lub sprzedane, opuszcza nasze serwery i trafia do modelu w USA.

Co steruje tą funkcją: przełącznik „Ksefly Intelligence” w Ustawieniach — ten sam, który steruje zdaniem w Pulsie (§4.2). Jest domyślnie wyłączony: dopóki go nie włączysz, żadna faktura nie jest wysyłana do modelu. Wyłączenie przełącznika kasuje wszystko, co AI napisało — zapisane opisy faktur na naszych serwerach, ich kopie na Twoich urządzeniach oraz profil z §4.2. Każdy opis nosi w aplikacji podpis „Napisane przez AI”.

Co zostaje: zwrócona fraza (jedno zdanie, maksymalnie 120 znaków) jest zapisywana na stałe przy fakturze na naszych serwerach i na Twoim urządzeniu. Model jest wywoływany raz na fakturę. Samego zapytania nie zapisujemy.

4.2. Zdanie w Pulsie („Ksefly Intelligence”)

Co wysyłamy: wyłącznie liczby i cechy zachowań, bez nazw, bez NIP-ów i bez numerów faktur — przychód i koszty bieżącego miesiąca, ewentualne widełki prognozy oraz profil w postaci par klucz-wartość: liczba miesięcy historii, średnia liczba sprzedaży w miesiącu, liczba stałych odbiorców, udział największego odbiorcy w procentach, w której części miesiąca zwykle fakturujesz, odsetek płatności w terminie, używane waluty. NIP-y służą na urządzeniu wyłącznie do policzenia liczby odbiorców i nigdy nie są wysyłane.

Co steruje tą funkcją: Twoja zgoda. Przełącznik „Ksefly Intelligence” (Ustawienia lub zaproszenie w Pulsie) jest domyślnie wyłączony; bez niego nic nie jest wysyłane. Zgoda jest sprawdzana dwukrotnie — przed wywołaniem i po powrocie odpowiedzi — więc wyłączenie przełącznika w trakcie powoduje odrzucenie wyniku.

Co zostaje: nic po naszej stronie. Komponent serwera obsługujący tę funkcję jest tak zbudowany, że nie ma technicznej możliwości zapisu do bazy. Odpowiedź jest zapisywana wyłącznie na Twoim urządzeniu, w pliku zaszyfrowanym (AES-GCM) kluczem związanym z urządzeniem. Wyłączenie przełącznika kasuje ten plik.

4.3. Notatka księgowa do faktury zakupowej

Co wysyłamy: nazwę sprzedawcy, kwotę brutto i walutę oraz nazwy pozycji. Nazwa nabywcy nie jest wysyłana do modelu na tej ścieżce.

Co steruje tą funkcją: ten sam przełącznik „Ksefly Intelligence” (domyślnie wyłączony) — i Twoje kliknięcie. Funkcja jest dostępna w planie Ksefly Ultra i uruchamia się wyłącznie wtedy, gdy przy włączonym przełączniku sam poprosisz o wersję roboczą notatki; przy wyłączonym przełączniku przycisk nie jest oferowany.

Co zostaje: wygenerowany tekst nie jest przez nas zapisywany. Jeśli go zachowasz, staje się Twoją notatką z akceptacji faktury i jest przechowywany razem z fakturą (§1.3), także na naszych serwerach.

4.4. Co dzieje się z tym po stronie Anthropic

Nasza umowa (Commercial Terms of Service Anthropic; dla klienta z EOG stroną jest Anthropic Ireland, Limited) obejmuje przez referencję umowę powierzenia (DPA), w której Anthropic działa jako nasz podmiot przetwarzający. Wejścia i wyjścia API Anthropic usuwa automatycznie w ciągu 30 dni od otrzymania lub wygenerowania (nie mamy odrębnej umowy „zero data retention”), a warunki zakazują trenowania modeli na treściach klienta: „Anthropic may not train models on Customer Content from Services”.

Modele nie są przez nas trenowane na Twoich danych i nie przekazujemy danych do modelu w żadnym innym celu niż opisany wyżej.

5. Przekazywanie danych poza Europejski Obszar Gospodarczy

Podstawowa infrastruktura Ksefly stoi w Polsce (Azure Poland Central), a strona internetowa w Holandii — to nie są transfery poza EOG. Poza EOG dane trafiają w czterech przypadkach:

Odbiorca	Co trafia	Kraj	Mechanizm
Anthropic (umowa: Anthropic Ireland, Limited)	patrz §4	USA (api.anthropic.com)	standardowe klauzule umowne, moduł 2 i 3 (art. 46 ust. 2 lit. c RODO), wbudowane w DPA Anthropic; retencja 30 dni, zakaz treningu na treściach klienta
Stripe	patrz §3	Irlandia — umowa ze Stripe Payments Europe, Limited (Dublin)	na tym styku transfer poza EOG nie następuje (podmiot z EOG); dalsze przekazania do grupy Stripe w USA wykonuje Stripe jako odrębny administrator, na własnych zabezpieczeniach — standardowych klauzulach umownych, a Stripe, LLC ma certyfikację EU-US Data Privacy Framework
Apple — APNs	token urządzenia, a przy włączonych szczegółach nazwa kontrahenta i kwota (§6)	USA	standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO) — Apple deklaruje w swojej polityce prywatności, że przekazywanie poza EOG danych zebranych w EOG odbywa się na podstawie standardowych klauzul umownych; podmiotem Apple dla EOG jest Apple Distribution International Limited (Irlandia); Apple nie uczestniczy w EU-US Data Privacy Framework
Apple — Sign in with Apple	wymiana tokenu tożsamości i cofnięcie autoryzacji przy usunięciu konta	USA	standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO) — Apple deklaruje w swojej polityce prywatności, że przekazywanie poza EOG danych zebranych w EOG odbywa się na podstawie standardowych klauzul umownych; podmiotem Apple dla EOG jest Apple Distribution International Limited (Irlandia); Apple nie uczestniczy w EU-US Data Privacy Framework

Kopię zastosowanych zabezpieczeń możesz uzyskać, pisząc na privacy@ksefly.app.

W przypadku Microsoft Azure dane są przechowywane i przetwarzane w Polsce; dostęp serwisowy Microsoftu spoza EOG jest możliwy w ograniczonym zakresie: usługi Azure objęte EU Data Boundary przechowują i przetwarzają dane klienta w UE/EFTA, a zdalny dostęp personelu spoza UE do celów wsparcia i utrzymania odbywa się na zasadach Microsoft Products and Services DPA, który dla takich przypadków włącza standardowe klauzule umowne; dane osobowe w logach systemowych są pseudonimizowane.

6. Powiadomienia push

Jeżeli zgodzisz się na powiadomienia, wysyłamy je przez usługę Apple (APNs). Domyślnie powiadomienie o pojedynczej nowej fakturze zawiera nazwę kontrahenta i kwotę — to znaczy, że te dwie informacje przechodzą przez serwery Apple i mogą wyświetlić się na zablokowanym ekranie. Gdy w jednej porcji przychodzi kilka faktur, powiadomienie podaje ich liczbę i sumę kwot, bez nazw; jeżeli faktury są w różnych walutach, sumy nie podajemy wcale.

Możesz to wyłączyć: Ustawienia → Powiadomienia → szczegóły faktur w powiadomieniach. Po wyłączeniu powiadomienie zawiera wyłącznie liczbę nowych faktur. Ustawienie działa per urządzenie.

7. Jak długo przechowujemy dane

Mówimy o tym wprost: poza wymienionymi niżej wyjątkami infrastrukturalnymi w Ksefly nie działa żaden mechanizm automatycznego usuwania danych po upływie czasu. Dane biznesowe są przechowywane do momentu, w którym usuniesz kontekst podatnika albo konto.

Co	Jak długo
Konto, konteksty podatnika, faktury, zaplanowane wysyłki, sejf danych, poświadczenia KSeF, urządzenia	do usunięcia kontekstu lub konta przez Ciebie (§9)
Opis AI przy fakturze	zapisany bezterminowo przy fakturze; usuwany razem z fakturą
UPO (XML)	do usunięcia firmy lub konta — usuwane razem z fakturami (§9)
Transakcje płatnicze	do usunięcia firmy lub konta (§9)
Tokeny sesji aplikacji	dostęp 30 minut, odświeżanie 30 dni; wygasłe wpisy nie są dziś automatycznie czyszczone
Dzienniki techniczne i diagnostyka użycia	30 dni (Log Analytics / Application Insights)
Kopie zapasowe bazy danych	7 dni, bez replikacji geograficznej

Nie stosujemy retencji opartej na czasie i nie powołujemy się na żaden okres ustawowy: dane żyją tak długo, jak konto albo firma, do której należą (decyzja z 26 sierpnia 2026 r.). Wygasłe tokeny sesji nie mają osobnego czyszczenia czasowego — znikają najpóźniej wraz z usunięciem konta.

Dlaczego nie „5 lat zgodnie z przepisami podatkowymi”. Faktury ustrukturyzowane przechowuje KSeF przez 10 lat, licząc od końca roku, w którym zostały wystawione (art. 112aa ustawy o VAT), a podatnik jest w tym zakresie zwolniony z obowiązku ich przechowywania. Ksefly nie przechowuje faktur „z obowiązku podatkowego” — robi to, bo bez tego aplikacja nie mogłaby ich pokazać.

8. Co przechowujemy na Twoim urządzeniu

Aplikacja zapisuje dane w pamięci Twojego urządzenia — informujemy o tym, bo wymaga tego art. 399 ustawy Prawo komunikacji elektronicznej:

lokalna baza aplikacji (faktury, kartoteki, katalog, szablony, wersje robocze, kolejka wysyłki, prywatne notatki do faktur sprzedaży) — chroniona mechanizmem ochrony plików iOS, dostępna dopiero po pierwszym odblokowaniu urządzenia;
pęk kluczy (Keychain) — tokeny sesji, ziarno klucza do zaszyfrowanej pamięci podręcznej AI, ewentualne certyfikaty KSeF; wpisy są związane z tym urządzeniem i nie są synchronizowane z iCloud;
preferencje — wybrany wygląd, ustawienia numeracji, układ Pulsu, zamknięte podpowiedzi, a przy fakturach także dzień i godzina ostatniego wysłanego przypomnienia o płatności oraz historia zmian faktury — co i kiedy zdarzyło się z fakturą na tym urządzeniu (np. wysyłka do KSeF i jego odpowiedź, przypomnienie, e-mail, oznaczenie zapłaty i jego cofnięcie, link do płatności); sama historia nie trafia na nasze serwery;
zaszyfrowana pamięć podręczna funkcji AI (§4.2);
pliki logo firmy używanego na fakturach;
pliki dodane do faktur (§1.5b) — w folderze Ksefly w Twoim iCloud, który iOS przechowuje także na tym urządzeniu; nie należą do danych konta, więc wylogowanie ich nie usuwa.

Wylogowanie usuwa z urządzenia wszystkie dane konta (bazę, kolejkę wysyłki, preferencje konta, logo, pamięć podręczną AI); ustawienia samego urządzenia, jak blokada biometryczna, pozostają. Kopia w sejfie (§1.6) zostaje, dzięki czemu ponowne zalogowanie odtwarza Twoje kartoteki — wylogowanie nie jest żądaniem usunięcia danych; tym jest usunięcie konta (§9).

Ciasteczka: aplikacja ich nie używa; strona ksefly.app nie ustawia żadnych ciasteczek i nie prowadzi analityki, dlatego nie ma na niej banera zgody.

9. Usunięcie konta — co znika, a co zostaje

W aplikacji, w Ustawieniach, znajdziesz opcję usunięcia konta. Uruchamia ona po naszej stronie jedną operację, która:

próbuje cofnąć autoryzację Sign in with Apple — jako pierwszą czynność, dzięki czemu Ksefly znika z listy „Logowanie przez Apple” w ustawieniach Twojego Apple ID. Jest to działanie najlepszych starań: jeżeli Apple nie potwierdzi unieważnienia, zapisujemy to u siebie, a usunięcie konta i tak dochodzi do skutku (tak samo mówi § 7 ust. 2 Regulaminu),
usuwa wszystkie konteksty podatnika, a wraz z nimi faktury, zaplanowane wysyłki, zadania importu historycznego i zaszyfrowane poświadczenia KSeF,
usuwa cały sejf danych użytkownika,
usuwa rejestracje urządzeń i tokeny sesji,
usuwa samo konto wraz z tożsamościami.

Usunięcie pojedynczej firmy (kontekstu) usuwa jej faktury, zaplanowane wysyłki, zadania importu, poświadczenia KSeF, zapisane dokumenty UPO, rekordy transakcji płatniczych i jej część sejfu.

Czego to nie obejmuje — mówimy uczciwie:

Kopie zapasowe bazy — dane znikają z nich po 7 dniach.
Dzienniki techniczne — po 30 dniach.
Materiał wysłany wcześniej do KSeF — KSeF przechowuje faktury na podstawie ustawy i nie możemy tego cofnąć.
Materiał wysłany wcześniej do Anthropic i Stripe — podlega ich własnym okresom przechowywania (§4.4, §5).
Kopie dokumentów i pliki dodane do faktur w Twoim iCloud (§1.5a, §1.5b) — nie są nasze i nie możemy ich usunąć; zostają tam, dopóki sam ich nie usuniesz.

Jeśli chcesz, żebyśmy usunęli coś, do czego opcja w aplikacji nie sięga, napisz na privacy@ksefly.app.

10. Twoje prawa

Masz prawo do: dostępu do swoich danych i uzyskania ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, które przekazałeś nam na podstawie umowy lub zgody, oraz do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Wycofanie zgody. Tam, gdzie przetwarzamy dane na podstawie zgody — dobrowolna diagnostyka (§1.12) i zdanie w Pulsie (§4.2) — możesz ją wycofać w każdej chwili, przełącznikiem w Ustawieniach, bez podawania powodu. Wycofanie nie wpływa na zgodność z prawem przetwarzania, którego dokonano wcześniej.

Prawo do sprzeciwu

Masz prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania Twoich danych opartego na naszym prawnie uzasadnionym interesie — z przyczyn związanych z Twoją szczególną sytuacją. Dotyczy to przetwarzania wskazanego w §2 jako „lit. f”. Po otrzymaniu sprzeciwu przestaniemy przetwarzać te dane, chyba że wykażemy istnienie ważnych, prawnie uzasadnionych podstaw nadrzędnych wobec Twoich interesów, praw i wolności, albo podstaw do ustalenia, dochodzenia lub obrony roszczeń. Sprzeciw zgłoś na privacy@ksefly.app.

Inspektor ochrony danych. Nie wyznaczyliśmy inspektora ochrony danych i nie mamy takiego obowiązku: art. 37 ust. 1 RODO wymaga go od organów publicznych oraz tam, gdzie podstawowa działalność polega na regularnym monitorowaniu osób na dużą skalę albo na przetwarzaniu na dużą skalę danych szczególnych kategorii lub danych o wyrokach — żaden z tych warunków nas nie dotyczy. W sprawach danych osobowych pisz na privacy@ksefly.app.

Zautomatyzowane decyzje i profilowanie. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu — w tym profilowaniu — które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO). Funkcje opisane w §4 tworzą wyłącznie teksty pomocnicze: nie odmawiają dostępu do usługi, nie zmieniają cen ani prowizji, nie wpływają na Twoje rozliczenia i nie są przekazywane nikomu poza Tobą.

Aby skorzystać z któregokolwiek z tych praw, napisz na privacy@ksefly.app. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Możemy poprosić o informacje pozwalające potwierdzić, że piszesz z konta, którego dotyczy żądanie — pamiętaj, że nie znamy Twojego imienia ani adresu e-mail (§1.1), więc bez takiego potwierdzenia nie umiemy przypisać żądania do konta.

11. Czy podanie danych jest obowiązkowe

Podanie danych jest dobrowolne, ale bez niektórych z nich usługa nie może działać:

NIP i poświadczenia KSeF — bez nich nie da się utworzyć kontekstu podatnika, a bez kontekstu aplikacja nie ma czego pokazywać ani gdzie wysyłać faktur;
identyfikator Sign in with Apple — bez niego nie ma konta;
zgoda na lokalizację — wymagana wyłącznie do przyjmowania płatności kartą telefonem; odmowa blokuje tę jedną funkcję i nic więcej;
zgoda na powiadomienia i zgody na funkcje AI oraz diagnostykę — w pełni dobrowolne; odmowa nie ogranicza pozostałych funkcji.

12. Bezpieczeństwo

Cała transmisja odbywa się po TLS. Sekrety serwera leżą w zarządzanym magazynie kluczy; baza danych jest dostępna wyłącznie przez prywatny punkt końcowy, bez logowania hasłem. Poświadczenia KSeF są szyfrowane kopertowo, a zawartość sejfu użytkownika — algorytmem AES-256-GCM. Na urządzeniu dane chroni mechanizm ochrony plików iOS oraz pęk kluczy, opcjonalnie za blokadą Face ID. Sekcja §1 podaje wprost, które pola nie są szyfrowane na poziomie kolumn — nie chcemy, żeby ta polityka sugerowała ochronę większą niż faktyczna.

Żaden system nie jest doskonale bezpieczny; jeśli zauważysz podatność, napisz na privacy@ksefly.app.

13. Dzieci

Ksefly jest narzędziem biznesowym i nie jest kierowana do dzieci (kategoria wiekowa 4+ wynika wyłącznie z braku treści nieodpowiednich). Świadomie nie przetwarzamy danych dzieci.

14. Zmiany tej polityki

Będziemy tę politykę aktualizować wraz z rozwojem aplikacji. Każda wersja ma numer i datę, a lista zmian jest poniżej. O zmianach istotnie wpływających na Twoje prawa poinformujemy w aplikacji, zanim zaczną obowiązywać.

Historia zmian

Wersja 1.0 — 1 października 2026 r. Pierwsza wersja.