Polityka prywatności aplikacji Spedify
Dotyczy aplikacji Spedify dostępnej pod adresem app.spedify.pl i pod adresami firm (np. nazwa-firmy.spedify.pl). Stronę informacyjną spedify.pl i jej formularz kontaktowy opisuje osobna polityka prywatności na spedify.pl.
1. Kto odpowiada za Twoje dane
Spedify to program dla firm transportowych i spedycyjnych. W aplikacji występują dwie role:
1. Firma, w której pracujesz (nasz klient — przewoźnik albo spedytor) jest administratorem danych, które wprowadza do aplikacji o swoich pracownikach, kierowcach, kontrahentach i zleceniach. To ona decyduje, po co i jak długo te dane są przetwarzane. W sprawach tych danych zwracaj się najpierw do swojej firmy.
2. Gieka Digital (giekadigital.pl), dostawca aplikacji, przetwarza te dane w imieniu firmy, na podstawie umowy powierzenia przetwarzania danych (DPA) zawartej z każdą firmą. Nie wykorzystujemy ich do własnych celów.
Gieka Digital jest administratorem tylko w zakresie opisanym w punkcie 3 (konta administratorów firm, rozliczenia, bezpieczeństwo logowania, korespondencja).
Kontakt w sprawach danych osobowych: kontakt@spedify.pl. Nie wyznaczyliśmy inspektora ochrony danych.
2. Dane, które firma przetwarza w aplikacji (my — w jej imieniu)
Zakres zależy od modułów, z których korzysta Twoja firma. Mogą to być:
Konta użytkowników: imię i nazwisko, e-mail, rola, skrót hasła (samego hasła nie znamy), ustawienia logowania dwuskładnikowego, wersja zaakceptowanego regulaminu.
Kierowcy: imię i nazwisko, telefon, dane i skany dokumentów (prawo jazdy, kwalifikacja, badania, karty), terminy ich ważności, nieobecności (urlop, L4 — widoczne tylko dla administratora firmy i samego kierowcy), czas pracy, zaliczki i wydatki.
Lokalizacja: pozycja GPS kierowcy przy meldunkach w trasie (załadunek, rozładunek, nadanie w porcie) oraz ostatnia znana pozycja — wyłącznie gdy kierowca korzysta z aplikacji i zgodzi się na to w przeglądarce telefonu.
Zlecenia i dokumenty transportowe: kontrahenci i osoby kontaktowe, adresy załadunku i rozładunku, dokumenty CMR, zdjęcia, załączniki, faktury (także pobrane z KSeF), korespondencja z podłączonej skrzynki Outlook.
Flota: pojazdy, przeglądy, naprawy, opony, zdjęcia usterek.
Historia zmian: kto, kiedy i co zmienił w danych firmy, wraz z adresem IP i rodzajem przeglądarki.
Podstawą prawną przetwarzania tych danych jest podstawa wskazana przez Twoją firmę (zwykle umowa o pracę lub współpracę, obowiązki prawne przewoźnika, uzasadniony interes firmy). Szczegóły przekaże Ci firma jako administrator.
3. Dane, których administratorem jest Gieka Digital
| Dane | Cel | Podstawa (RODO) | Jak długo |
|---|---|---|---|
| Dane kontaktowe i konto administratora firmy-klienta, akceptacje regulaminu i DPA | zawarcie i wykonanie umowy na korzystanie z aplikacji | art. 6 ust. 1 lit. b | przez czas umowy i do upływu terminów przedawnienia roszczeń |
| Dane do faktur | rozliczenia i obowiązki podatkowe | art. 6 ust. 1 lit. c | 5 lat od końca roku podatkowego |
| Próby logowania (skrót adresu e-mail i adresu IP) | ochrona przed odgadywaniem haseł | art. 6 ust. 1 lit. f (bezpieczeństwo usługi) | 24 godziny |
| Zdarzenia bezpieczeństwa konta i zgłoszenia błędów aplikacji (bez treści danych firmy) | wykrywanie awarii i nadużyć | art. 6 ust. 1 lit. f | zgłoszenia błędów do 90 dni; zdarzenia bezpieczeństwa do 24 miesięcy |
| Korespondencja i zgłoszenia uwag | odpowiedź i obsługa zgłoszeń | art. 6 ust. 1 lit. f | do 2 lat od ostatniego kontaktu |
4. Odczyt dokumentów przez sztuczną inteligencję
Funkcja odczytu dokumentów (CMR, paragony, dokumenty) jest domyślnie wyłączona. Włącza ją administrator firmy. Po włączeniu skan lub zdjęcie dokumentu jest wysyłane do Anthropic PBC (USA), który odczytuje z niego dane i odsyła je do aplikacji. Anthropic nie używa tych danych do trenowania modeli i usuwa je ze swoich systemów po 30 dniach. Przetwarzanie odbywa się poza Europejskim Obszarem Gospodarczym (punkt 6). Aplikacja nie zapisuje pełnego tekstu odczytanego dokumentu, tylko potrzebne pola.
5. Komu przekazujemy dane
Korzystamy z dostawców (dalszych podmiotów przetwarzających), z którymi mamy umowy powierzenia:
| Dostawca | Rola | Gdzie są dane |
|---|---|---|
| Vercel Inc. | hosting aplikacji, przechowywanie plików | UE (Frankfurt); dostęp techniczny i sieć dostarczania treści mogą obejmować USA |
| Neon (Databricks) | baza danych | UE (Frankfurt) |
| Functional Software Inc. (Sentry) | zgłoszenia błędów aplikacji, bez danych osobowych (adresy e-mail i telefony są maskowane, adresy IP nie są zapisywane) | UE (Frankfurt); konta i ustawienia usługi w USA |
| cyber_Folks S.A. (Zenbox) | zaszyfrowane kopie zapasowe, poczta | Polska |
| GitHub Inc. (Microsoft) | automatyczne tworzenie kopii zapasowych (dane zaszyfrowane przed zapisem) | USA |
| Anthropic PBC | odczyt dokumentów przez AI — tylko gdy firma go włączy | USA |
Usługi, do których aplikacja wysyła wyłącznie adresy lub współrzędne miejsc (bez danych osób): geokodowanie adresów (OpenStreetMap Nominatim), wyznaczanie tras (openrouteservice, OSRM).
Dane trafiają też do usług, które Twoja firma sama podłącza: Microsoft 365/Outlook (poczta) oraz Krajowy System e-Faktur (Ministerstwo Finansów). Kursy walut pobieramy z NBP — bez danych osobowych.
Dane możemy udostępnić organom państwowym tylko wtedy, gdy wymaga tego prawo.
6. Przekazywanie danych poza EOG
Dane produkcyjne przechowujemy w Unii Europejskiej. Przekazanie do USA może nastąpić przy odczycie dokumentów przez AI (gdy firma go włączy), przy tworzeniu kopii zapasowych na GitHub (dane są zaszyfrowane przed zapisem) oraz przy dostępie technicznym dostawców. Podstawą są standardowe klauzule umowne zatwierdzone przez Komisję Europejską, a u dostawców certyfikowanych także EU-US Data Privacy Framework. Kopię zabezpieczeń możesz otrzymać, pisząc na kontakt@spedify.pl.
7. Jak długo przechowujemy dane
| Dane | Okres |
|---|---|
| Dane firmy w aplikacji | przez czas umowy; po zakończeniu umowy firma może je pobrać przez 30 dni, potem są trwale usuwane |
| Dane zarchiwizowanego kierowcy | anonimizacja 12 miesięcy po archiwizacji |
| Współrzędne GPS meldunków | 90 dni (sam meldunek z godziną zostaje) |
| Historia zmian | 24 miesiące |
| Próby logowania | 24 godziny |
| Zgłoszenia błędów (Sentry) | do 90 dni |
| Kopie zapasowe | do 12 miesięcy (usunięte dane znikają z kopii najpóźniej po tym czasie) |
| Dokumenty odczytywane przez AI (u Anthropic) | 30 dni |
8. Ciasteczka i pamięć przeglądarki
Aplikacja używa jednego niezbędnego ciasteczka — sesji logowania (spedify_session), ważnego 12 godzin. Nie używamy ciasteczek reklamowych ani analitycznych i nie śledzimy Cię między stronami.
W pamięci przeglądarki (localStorage) zapisujemy wyłącznie ustawienia wygody: zwinięte sekcje menu, czas ostatnio obejrzanych powiadomień i niewysłany szkic zgłoszenia uwag. Zostają tylko na Twoim urządzeniu.
9. Twoje prawa
Masz prawo do: dostępu do danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia danych oraz sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie.
W sprawie danych, które wprowadza Twoja firma (punkt 2), zwróć się do niej. Administrator firmy może w aplikacji pobrać eksport danych osoby lub całej firmy i usunąć dane osoby. Gdy otrzymamy Twoje żądanie bezpośrednio, przekażemy je firmie.
W sprawie danych z punktu 3 napisz na kontakt@spedify.pl. Odpowiemy w ciągu miesiąca.
Możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
10. Bezpieczeństwo
Dane każdej firmy są oddzielone na poziomie bazy danych, połączenia są szyfrowane, hasła przechowujemy wyłącznie jako skróty, a kopie zapasowe szyfrujemy przed wysłaniem. Logowanie dwuskładnikowe jest dostępne i zalecane dla administratorów — włączysz je w „Moje konto”. Każda zmiana danych firmy trafia do historii zmian, którą administrator firmy widzi w aplikacji.
11. Zmiany polityki
O istotnych zmianach poinformujemy w aplikacji. Aktualna wersja jest zawsze dostępna pod tym adresem.
Wersja z dnia 12.11.2026.