CraftlyWorks

Polityka prywatności

Ostatnia aktualizacja: 12 października 2026 r.

Ta polityka dotyczy portalu klienta CraftlyWorks pod adresem app.craftlyworks.com i dostępnych w nim usług. Strona internetowa CraftlyWorks ma własną politykę.

Kto odpowiada za dane

CraftlyWorks Sp. z o.o., ul. Złota 75A lok. 7, 00-819 Warszawa (KRS 0001246813, NIP 5273222920). Kontakt: business@craftlyworks.com.

Dla danych Twojego konta jesteśmy administratorem. Dla danych firmowych, które wprowadzasz do usługi (Twoje księgi, operacje bankowe, faktury oraz wymienione w nich osoby i firmy), administratorem pozostajesz Ty, a my przetwarzamy je w Twoim imieniu, wyłącznie po to, by świadczyć usługę, o którą prosisz. Zasady określa umowa powierzenia przetwarzania danych. Nie prosimy o nią przy zakładaniu konta: akceptujesz ją osobno dla każdej usługi, gdy pierwszy raz otwierasz taką, która jej wymaga.

Co przechowujemy o Twoim koncie

  • Twój adres e-mail oraz imię, nazwisko i zdjęcie, jeśli je dodasz.
  • Kraj, w którym działa Twoja firma, podany przy pierwszym logowaniu.
  • Dla każdego miejsca, w którym jesteś zalogowany: kiedy nastąpiło logowanie, mniej więcej kiedy było ostatnio aktywne oraz jak przedstawia się przeglądarka (na przykład „Chrome, macOS”), żeby można było zobaczyć i zakończyć własne sesje. Nie zapisujemy lokalizacji.
  • Klucz logowania, który Twoja przeglądarka wyprowadza z hasła do konta. Przechowujemy wyłącznie jego skrót. Samo hasło nigdy do nas nie trafia.
  • Gdy wybierzesz hasło szyfrujące, o które usługa prosi, zanim pierwszy raz coś zapisze: Twój klucz szyfrujący w postaci zamkniętej, którą otwiera tylko to hasło szyfrujące (jest ono odrębne od hasła do konta i nie trafia do nas w żadnej postaci), oraz losową wartość potrzebną do jego wyprowadzenia.
  • Datę założenia konta, datę ostatniego logowania i datę ostatniego zapisu.
  • Jeśli konto powstało z zaproszenia: informację, że zaproszenie zostało wykorzystane i z jakim adresem e-mail.
  • Firmę, do której należy Twoje konto, Twoją rolę w niej (właściciel lub członek zespołu) oraz usługi firmy, z których możesz korzystać.
  • Jeśli zapraszasz współpracownika: jego adres e-mail i wybrane dla niego usługi, do czasu dołączenia lub wygaśnięcia zaproszenia po 14 dniach.
  • Po zaakceptowaniu umowy powierzenia: nazwę, NIP i adres Twojej firmy, imię, nazwisko i funkcję osoby akceptującej oraz, dla każdej usługi, datę i zaakceptowaną wersję. To umowa z nami, więc w odróżnieniu od danych firmowych przechowujemy ją w postaci, którą możemy odczytać. Kopię możemy wysłać na Twój adres e-mail.

Twoje dane w usługach

Zasada dla każdej usługi. To, co usługa dla Ciebie zapisuje, jest szyfrowane w Twojej przeglądarce, zanim zostanie wysłane, kluczem wyprowadzonym z Twojego hasła szyfrującego. Przechowujemy wyłącznie postać zaszyfrowaną i nie potrafimy jej odczytać. Nie odczyta jej też nikt, kto zdobyłby kopię naszej bazy danych. Usługa, której nie otwierasz, nie przechowuje niczego, co Twoje.

Współpracownicy. To, co zapisane, należy do Twojej firmy, a nie do jednej osoby. Każda osoba ma własne hasło szyfrujące i własną parę kluczy, tworzoną w jej przeglądarce. Klucz danych firmy przekazuje nowej osobie przeglądarka właściciela, zaszyfrowany wyłącznie dla tej osoby, więc na naszym serwerze nigdy nie istnieje w postaci, której moglibyśmy użyć. Każda osoba otrzymuje wyłącznie dane usług, do których ma dostęp. Usunięcie osoby z zespołu natychmiast odbiera jej dostęp.

Kontrola ksiąg

Co jest przechowywane. Twoje klucze API wFirma, operacje bankowe, zapisy z ksiąg handlowych, wyniki ostatniego skanu oraz Twoje oznaczenia i reguły, zaszyfrowane w opisany wyżej sposób.

Co dzieje się podczas skanu. Twoja przeglądarka wysyła na nasz serwer, szyfrowanym połączeniem, operacje bankowe, księgi i klucze wFirma. Za pomocą tych kluczy serwer odczytuje z wFirma faktury, wydatki, płatności, kontrahentów, stawki VAT i rachunki bankowe Twojej firmy. Może wyłącznie odczytywać: niczego w wFirma nie doda, nie zmieni ani nie usunie. Serwer wykonuje kontrole w pamięci, odsyła wyniki do Twojej przeglądarki i odrzuca dane. Nic ze skanu nie jest zapisywane w naszej bazie danych ani w logach.

Dokładna obietnica brzmi więc tak: nigdy nie przechowujemy Twoich ksiąg w postaci, którą potrafimy odczytać. Podczas skanu znajdują się one na naszym serwerze, w pamięci, tak długo, jak trwa skan.

Faktury

Dane Twojej firmy w postaci, w jakiej pojawiają się na fakturach, logo oraz tworzone przez Ciebie faktury sprzedaży: nazwy, numery podatkowe i adresy nabywców, przedmiot sprzedaży, kwoty, daty i dane płatności. Wszystko zaszyfrowane w przeglądarce, jak opisano wyżej; faktury powstają i są wyświetlane w Twojej przeglądarce, a nasz serwer nie może ich odczytać.

Gdy wpisujesz NIP polskiego nabywcy, sam ten numer jest przekazywany przez nasz serwer do publicznego wykazu podatników VAT Ministerstwa Finansów, aby uzupełnić nazwę i adres nabywcy. Dla faktury w walucie obcej do Narodowego Banku Polskiego trafiają kod waluty i data, aby pobrać opublikowany kurs. Ani pytania, ani odpowiedzi nie zapisujemy.

Wystawianie w KSeF jest opcjonalne. Jeśli podłączysz token KSeF z uprawnieniem do wystawiania faktur, jest on przechowywany w postaci zaszyfrowanej, jak reszta danych. Gdy potwierdzasz wystawienie faktury, Twoja przeglądarka przesyła token i tę jedną fakturę na nasz serwer szyfrowanym połączeniem; serwer tworzy w pamięci urzędowy plik faktury, przesyła go do Krajowego Systemu e-Faktur (KSeF) i przekazuje z powrotem numer KSeF. Ani tokenu, ani faktury nie zapisujemy po naszej stronie. Faktury przyjętej przez KSeF nie można wycofać, można ją tylko skorygować. Token możesz w każdej chwili unieważnić w KSeF.

Strażnik faktur KSeF

Co jest przechowywane. NIP Twojej firmy, podany token KSeF oraz lista odczytanych dotąd faktur zakupowych: sprzedawca, numery, daty, kwoty, waluta, termin płatności, rachunek bankowy sprzedawcy oraz informacja, czy ten rachunek jest na białej liście VAT. Wszystko zaszyfrowane w opisany wyżej sposób.

Co dzieje się podczas sprawdzania. Twoja przeglądarka wysyła NIP i token na nasz serwer, szyfrowanym połączeniem. Serwer loguje się nimi do Krajowego Systemu e-Faktur (KSeF), odczytuje faktury wystawione na Twoją firmę, sprawdza w publicznym wykazie podatników VAT Ministerstwa Finansów (biała lista), czy rachunek każdego sprzedawcy jest do niego przypisany, oznacza faktury, którym warto się przyjrzeć, odsyła wynik do Twojej przeglądarki i go odrzuca. Do białej listy trafiają wyłącznie NIP sprzedawcy i numer jego rachunku. Nic ze sprawdzania nie jest zapisywane w naszej bazie danych ani w logach.

Na co pozwala token. Token generujesz samodzielnie w KSeF, z uprawnieniem wyłącznie do przeglądania faktur. Nie da się nim w KSeF niczego wystawić, zmienić ani odrzucić. Możesz go w każdej chwili unieważnić w KSeF, co natychmiast odbiera nam dostęp.

Codzienny e-mail, jeśli go włączysz. To jedno z dwóch miejsc, w których coś Twojego jest przechowywane w postaci, z której nasze systemy mogą skorzystać bez Ciebie; drugim są automatyczne przypomnienia o płatności, opisane niżej. Kopia tokenu i listy faktur jest zapisana na naszym serwerze, zapieczętowana kluczem, który ma wyłącznie odrębne sprawdzanie w tle; sam portal nie potrafi jej otworzyć. Raz dziennie to sprawdzanie odczytuje Twoje nowe faktury z KSeF i, jeśli jest o czym napisać, wysyła Ci podsumowanie: sprzedawca, numer faktury, kwota i termin płatności. Poczta e-mail nie jest szyfrowana od końca do końca, więc włącz tę funkcję tylko wtedy, gdy zgadzasz się otrzymywać takie informacje e-mailem. Wyłączenie jej lub odłączenie KSeF od razu usuwa tę kopię.

Automatyczne przypomnienia o płatności, jeśli je włączysz. W usłudze Monitoring płatności możesz zlecić przypominanie nabywcy o niezapłaconej fakturze pod Twoją nieobecność, osobno dla każdej faktury. Dla takiej faktury na naszym serwerze zapisane jest przypomnienie: adres e-mail nabywcy, nazwa Twojej firmy, numer i daty faktury, kwota oraz Twój numer rachunku, zapieczętowane kluczem, który ma wyłącznie odrębny proces działający w tle; sam portal nie potrafi go otworzyć. Proces ten pisze do nabywcy w imieniu Twojej firmy, w ustalonym brzmieniu, najwyżej cztery razy: 3 dni przed terminem płatności oraz 1, 7 i 14 dni po nim. Odpowiedzi trafiają na adres e-mail Twojego konta, który dostaje też kopię każdej wiadomości. Oznaczenie faktury jako zapłaconej albo wyłączenie przypomnień od razu usuwa zapisane przypomnienie; w przeciwnym razie znika ono po 30 dniach od wysłania ostatniego. Wyciąg bankowy, którego używasz do odnalezienia wpłat, jest czytany wyłącznie w Twojej przeglądarce i nigdy do nas nie trafia.

Jeśli zapomnisz hasła do konta lub hasła szyfrującego

Zapomniane hasło do konta nie oznacza utraty danych, bo chroni je hasło szyfrujące; napisz do nas w sprawie odzyskania dostępu. Z hasłem szyfrującym jest inaczej:

Nie możemy go zresetować ani odzyskać tego, co zostało zapisane. Napisz do nas, a usuniemy konto, żeby można było założyć nowe.

Inne usługi biorące udział

  • wFirma. Podczas skanu nasz serwer łączy się z wFirma przy użyciu Twoich kluczy. wFirma jest Twoim dostawcą księgowości i przetwarza te dane na własnych zasadach. CraftlyWorks nie jest powiązane z wFirma.
  • KSeF. Podczas sprawdzania nasz serwer łączy się z Krajowym Systemem e-Faktur, prowadzonym przez administrację skarbową, przy użyciu Twojego tokenu. To system publiczny, z którego Twoja firma korzysta na podstawie przepisów.
  • Narodowy Bank Polski. Gdy masz operacje w walucie obcej, nasz serwer pobiera z publicznego serwisu banku kursy średnie. Wysyłane są wyłącznie kody walut i zakres dat, nic o Tobie ani o Twoich księgach.
  • Mistral AI, tylko jeśli korzystasz z usługi Skaner kosztów. Aby odczytać fakturę lub paragon, nasz serwer przesyła wybrany przez Ciebie plik do Mistral AI SAS, francuskiej firmy, i otrzymuje z powrotem to, co jest na dokumencie. Nasz serwer nie zachowuje ani pliku, ani odczytu; odczyt trafia wyłącznie do Twoich zaszyfrowanych danych. Mistral przechowuje dane domyślnie w Unii Europejskiej i nie może trenować swoich modeli na Twoich dokumentach. Zapisujemy tylko liczbę dokumentów odczytanych przez Twoją firmę w miesiącu, nic o ich treści.
  • Stripe, gdy Twoja firma kupuje usługę. Płacisz na stronie Stripe, więc dane karty nigdy do nas nie trafiają. Przekazujemy Stripe kwotę, opis zakupu i adres e-mail osoby płacącej, a zamówienie (co, kiedy, za ile, dane firmy, wersja zaakceptowanego regulaminu sprzedaży, faktura) przechowujemy do celów księgowych, zgodnie z przepisami. Przed końcem opłaconego okresu wysyłamy właścicielom konta firmy przypomnienie e-mailem.
  • Nasz dostawca hostingu, Korbank S.A. (K.pl), ul. Fabryczna 16k, 53-609 Wrocław, który utrzymuje serwer w naszym imieniu. Serwer znajduje się w Polsce. Nie przekazujemy danych poza Europejski Obszar Gospodarczy.
  • Dostawca magazynu kopii zapasowych, OVH Sp. z o.o. (OVHcloud), ul. Swobodna 1, 50-088 Wrocław. Co noc robimy kopię zapasową bazy danych i drugi jej egzemplarz przechowujemy poza naszym serwerem, w centrum danych OVHcloud w Warszawie, przez 90 dni. Kopia opuszcza nasz serwer zaszyfrowana kluczem, którego OVHcloud nie posiada, więc nie może jej odczytać.

Nie sprzedajemy danych, nie udostępniamy ich w celach marketingowych i niczego na nich nie uczymy.

Anonimowe statystyki

Żeby wiedzieć, które narzędzia są przydatne, prowadzimy miesięczne sumy: ile razy użyto danej funkcji i ile osób udzieliło każdej odpowiedzi na nieobowiązkowe pytania powitalne. Suma to liczba, na przykład „12 biur rachunkowych w październiku”. Nie jest zapisywana przy Twoim koncie i nie da się jej z Tobą powiązać. Pytania możesz pominąć, a z sum użycia możesz się wyłączyć na stronie Umowy i prywatność.

Pliki cookie i pamięć przeglądarki

  • Plik cookie sesji, który utrzymuje zalogowanie do 12 godzin.
  • Plik cookie z wybranym językiem oraz z trybem jasnym lub ciemnym.
  • Twój klucz szyfrujący, trzymany w pamięci przeglądarki na tym urządzeniu, żeby odświeżenie strony nie wymagało ponownego podania hasła szyfrującego. Jest usuwany przy wylogowaniu.

Wszystkie są niezbędne do działania usługi. Nie ma plików cookie analitycznych, reklamowych ani śledzących, a strona nie pobiera niczego od innych firm.

Logi serwera

Nasz serwer WWW zapisuje standardowe dane techniczne każdego żądania: adres IP, czas i żądany adres. Przechowujemy je przez 14 dni i wykorzystujemy do zapewnienia bezpieczeństwa i działania usługi. Nie zawierają Twoich danych z usług.

Kto w CraftlyWorks co widzi

Upoważnieni pracownicy widzą, że konto istnieje: jego adres e-mail, trzy wymienione wyżej daty, włączone usługi oraz firmę wskazaną w umowie. Mogą włączyć lub wyłączyć usługę, a na Twoją prośbę usunąć konto. Nie widzą Twoich ksiąg, wyników, faktur, kluczy wFirma ani tokenu KSeF.

Jak długo przechowujemy dane

Konto, umowę i zaszyfrowane dane przechowujemy do czasu usunięcia konta. Możesz to zrobić samodzielnie na stronie Konto: usuwa to jednocześnie wszystkie te dane i wszystkie sesje. Konto, na które nikt nie zalogował się przez 24 miesiące, jest usuwane automatycznie, w ten sam sposób. Sesje logowania wygasają po 12 godzinach. Logi serwera przechowujemy przez 14 dni.

Podstawa prawna

  • Twoje konto i umowa: świadczenie usługi, do której się zapisałeś (art. 6 ust. 1 lit. b RODO).
  • Logi serwera i ochrona przed nadużyciami: nasz prawnie uzasadniony interes polegający na zapewnieniu bezpieczeństwa usługi (art. 6 ust. 1 lit. f RODO).
  • Twoje dane w usługach: przetwarzane w Twoim imieniu i na Twoje polecenie (art. 28 RODO).

Twoje prawa

  • dostęp do danych i otrzymanie ich kopii,
  • sprostowanie, usunięcie lub ograniczenie przetwarzania,
  • sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie,
  • przenoszenie danych,
  • skarga do Prezesa Urzędu Ochrony Danych Osobowych.

Aby z nich skorzystać, napisz na business@craftlyworks.com. Ponieważ Twoje dane w usługach są zaszyfrowane Twoim hasłem szyfrującym, możemy je dla Ciebie usunąć, ale nie możemy ich odczytać i przekazać; wszystkie widzisz samodzielnie po zalogowaniu.

To nie zastępuje księgowego

Kontrole wskazują rzeczy, które wyglądają na błędne. Nie są poradą księgową, podatkową ani prawną, a wynik jest zachętą do sprawdzenia, nie rozstrzygnięciem.