Prywatność i pliki cookie

Podpis elektroniczny

Gdy podpisujesz dokument, aplikacja przetwarza: obraz podpisu (narysowany, wpisany wybranym krojem pisma albo wgrany ze zdjęcia), imię i nazwisko podpisującego, parafy, jeśli je dodasz, datę i godzinę podpisu ze strefą czasową według zegara urządzenia, chwilę zaznaczenia zgody na podpis elektroniczny i jej treść oraz skrót treści dokumentu. Służą do utworzenia podpisanego dokumentu i karty podpisów na jego końcu.

Nie zbieramy przebiegu pisania (nacisku, prędkości, kolejności i czasu kresek), położenia ani danych urządzenia — zostaje sam obraz. Dane podpisu są zapisane z dokumentem w pamięci przeglądarki (localStorage, przy własnym PDF IndexedDB) i w pobranym PDF. Na wspólnym komputerze usuniesz je przyciskiem „Wyczyść formularz” (przy własnym PDF „Usuń plik”) albo w „Moich dokumentach”. Przy wysyłce do podpisu, linku do wypełnienia i zapisie w internecie trafiają na serwer tylko w zaszyfrowanej kopii dokumentu. Jawnie serwer zapisuje tylko, kiedy przyjął podpis strony (wysyłka do podpisu) albo odpowiedź (link do wypełnienia) — ten czas trafia do karty podpisów.

Wysyłka do podpisu

Gdy użyjesz opcji „Wyślij do podpisu”, dokument — tekst, wpisane dane, obrazy i złożone podpisy, a przy własnym PDF także sam plik — jest szyfrowany w Twojej przeglądarce (AES-256-GCM), zanim opuści urządzenie. Na serwer trafia tylko zaszyfrowana kopia. Klucz jest częścią linku, we fragmencie po znaku #. Wchodząc na stronę z takiego linku, przeglądarka tego fragmentu do serwera nie wysyła. Inaczej jest w chwili wysyłki zaproszeń: link razem z kluczem przechodzi wtedy przez nasz serwer, bo to on wysyła wiadomość, i zostaje w skrzynce odbiorcy oraz u dostawcy poczty. Samego linku nie przechowujemy. Link strony niesie tylko połowę klucza, a drugą trzyma nasza baza — ani sama poczta, ani sama nasza baza nie wystarczą, żeby odczytać dokument. Link nadawcy, pod którym sprawdzasz status, niesie klucz w całości; dlatego nie przekazuj tej wiadomości dalej.

Oprócz zaszyfrowanej kopii przechowujemy: rodzaj i język dokumentu, skróty SHA-256 tokenów z linków, role stron, czasy otwarcia, podpisania albo odrzucenia oraz — jeśli je podasz — adresy e-mail stron i Twój. Powód odrzucenia jest szyfrowany tym samym kluczem. Zapisujemy też skrót adresu IP, z którego wysłano dokument (HMAC z tajnym kluczem — samego adresu nie zapisujemy), żeby jedna osoba nie mogła wyczerpać godzinnego limitu wysyłek wszystkim; skrót znika razem z dokumentem. Bazę danych prowadzi dla nas usługa Neon, na serwerach we Frankfurcie (UE).

Zdjęcia dodane do dokumentu (protokół odbioru robót, protokół zdawczo-odbiorczy lokalu) zapisują się w przeglądarce razem z danymi formularza (localStorage). Gdy wysyłasz dokument do podpisu albo zapisujesz go online, są przechowywane zaszyfrowane razem z nim i usuwane razem z nim. Przed zapisaniem przeglądarka je zmniejsza i usuwa z nich metadane, w tym położenie z telefonu.

Jeśli podasz adres e-mail, wiadomość z linkiem wyślemy przez usługę Resend. Link strony zawiera tylko połowę klucza, a drugą połowę przechowujemy my i oddajemy ją dopiero po kodzie z e-maila (niżej) — sam link z wiadomości, która trafiła w niepowołane ręce, dokumentu nie otworzy. Link nadawcy zawiera cały klucz. Jeśli nie chcesz podawać adresu, skopiuj link i przekaż go sam. Wiadomości zawierają tylko nazwę rodzaju dokumentu i rolę strony, bez treści umowy.

Jeśli nadawca zostawi włączone przypomnienia, stronie z podanym adresem, która nie podpisała, wyślemy przypomnienie trzeciego dnia po wysłaniu i trzeciego dnia po poprzednim — najwyżej dwa, i tylko wtedy, gdy zaproszenie e-mailem naprawdę wyszło. Takie przypomnienie nie zawiera linku, bo nie przechowujemy klucza; odsyła do pierwszej wiadomości. Przypomnienie z linkiem nadawca może wysłać sam ze strony statusu: link przekazuje wtedy jego przeglądarka, tylko do tej jednej wiadomości.

Gdy strona odrzuci dokument, powiadomimy o tym e-mailem nadawcę i pozostałe strony, do których wysłaliśmy zaproszenie. Wiadomość podaje tylko rodzaj dokumentu i rolę strony, która odmówiła.

Nadawca może zabezpieczyć linki 6-cyfrowym kodem dostępu, który przekazuje stronom sam, innym kanałem. Kod powstaje w jego przeglądarce; przechowujemy tylko jego skrót (scrypt z solą) i liczbę błędnych prób — po pięciu link jest blokowany na 15 minut, a każda kolejna blokada trwa dwa razy dłużej, najwyżej dobę. Kodu nie wysyłamy e-mailem.

Przed otwarciem dokumentu każda strona potwierdza adres e-mail 6-cyfrowym kodem, który wysyłamy na ten adres przez Resend: na adres podany przez nadawcę, a gdy go nie podał — na adres, który strona wpisze sama. Przechowujemy potwierdzony adres, skąd pochodzi i czas potwierdzenia; trafiają one do karty podpisów w PDF, więc widzą je nadawca i strony, które same potwierdziły adres. Kod przechowujemy jako skrót (scrypt z solą) przez 10 minut i 5 prób. Wszystko to usuwamy razem z dokumentem.

Zaszyfrowana kopia i dane o wysyłce są usuwane automatycznie 30 dni po wysłaniu albo 14 dni po podpisaniu przez wszystkie strony lub odrzuceniu. Nadawca może usunąć dokument wcześniej, z linku do statusu, a zapisane w przeglądarce linki i kody — przyciskiem „Usuń z tej przeglądarki”. Na stronie otwieranej z linku nie uruchamiamy analityki, nawet po wyrażeniu zgody.

Link do wypełnienia

Gdy utworzysz „Link do wypełnienia”, dokument jest szyfrowany w Twojej przeglądarce tak samo jak przy wysyłce do podpisu, a klucz jest w linku, po znaku #. Każdy, kto ma link, może otworzyć dokument, uzupełnić pola wskazanej strony, podpisać go i wysłać odpowiedź.

Odpowiedź — wpisane dane i podpis — jest szyfrowana w przeglądarce osoby wypełniającej kluczem publicznym autora formularza. Otwiera ją tylko link do panelu, który ma autor: osoby z linkiem do wypełnienia nie widzą cudzych odpowiedzi, my też nie. Oprócz zaszyfrowanych danych przechowujemy rodzaj i język dokumentu, skrót tokenu autora, informację, czy formularz przyjmuje odpowiedzi, czas i rozmiar każdej odpowiedzi oraz skrót adresu IP autora i osób odpowiadających (HMAC, bez samego adresu) do godzinnych limitów. Nie wysyłamy przy tym e-maili.

Formularz razem z odpowiedziami jest usuwany automatycznie 30 albo 90 dni po utworzeniu — okres wybiera autor przy tworzeniu linku, domyślnie 30 dni. Autor może wcześniej usunąć pojedyncze odpowiedzi albo cały formularz. Na stronie formularza nie uruchamiamy analityki.

Konto

Wypełnianie, podpisywanie na własnym urządzeniu i pobieranie dokumentów nie wymagają konta. Konto jest potrzebne dopiero do wysłania dokumentu do podpisu, utworzenia linku do wypełnienia albo wysłania przypomnienia — żeby było wiadomo, z czyjego potwierdzonego adresu dokument wyszedł. Logujesz się bez hasła: na podany adres wysyłamy przez Resend 6-cyfrowy kod.

Przechowujemy adres e-mail konta oraz daty założenia i ostatniego logowania; przy kodzie — jego skrót (scrypt), liczbę prób i skrót adresu IP (HMAC, bez samego adresu) do godzinnych i dobowych limitów. Kody usuwamy po dobie. Zalogowana przeglądarka dostaje ciasteczko sesji niezbędne do działania logowania (HttpOnly, 30 dni); na serwerze jest tylko jego skrót. Adres konta zapamiętuje też Twoja przeglądarka (localStorage), żeby wpisać go przy następnym logowaniu; znika po wylogowaniu i po usunięciu konta. Przy wysłanym dokumencie i linku do wypełnienia zapisujemy, z którego konta wyszły. Adres konta pokazujemy stronom w e-mailu z zaproszeniem i w przypomnieniu z linkiem jako nadawcę.

Gdy wysyłasz zaproszenie albo przypomnienie z linkiem, przez 2 dni zapisujemy, z którego konta wyszło (bez adresów odbiorców), żeby jedno konto nie wyczerpało dziennego limitu wiadomości.

Konto usuniesz sam na stronie „Moje dokumenty” przyciskiem „Usuń konto”: usuwamy adres, sesje i kody. Wysłane wcześniej dokumenty i linki działają dalej do swojej daty, już bez powiązania z kontem. Treści dokumentów konto nie zmienia — nadal są szyfrowane w przeglądarce i ich nie widzimy.

Zapis w internecie. Jeśli zapiszesz szkic, wzór albo własny PDF na koncie, przechowujemy go zaszyfrowanego w Twojej przeglądarce kluczem, którego nie znamy (mamy tylko jego skrót SHA-256, żeby odrzucić zapis innym kluczem). Nazwa zapisu i jego treść są zaszyfrowane; widzimy rodzaj (szkic, wzór, PDF), rozmiar i daty. Klucz przechowuje Twoja przeglądarka do wylogowania — bez niego nie odzyskamy zapisów. Zapisy trzymamy, dopóki ich nie usuniesz (pojedynczo w „Moich dokumentach”, wszystkie przez „zacznij od nowa” albo razem z kontem).

Wypełnianie przez adres URL — ważne zastrzeżenie

Serwis pozwala wstępnie wypełnić pola parametrami w adresie URL. Jest to wygodne, ale adres URL — w odróżnieniu od treści wpisywanej w formularzu — jest przesyłany do serwera i może zostać zapisany w logach dostępowych dostawcy hostingu, w historii przeglądarki oraz w miejscu, do którego taki link wkleisz.

Dlatego nie zalecamy umieszczania w adresie URL danych wrażliwych, takich jak numery rachunków bankowych czy numery dokumentów tożsamości. Do naszej analityki adresy URL trafiają pozbawione parametrów zapytania.

Analityka — wyłącznie za Twoją zgodą

Do momentu wyrażenia zgody w banerze nie ładujemy żadnych skryptów analitycznych. Po wyrażeniu zgody korzystamy z:

• Vercel Analytics — zagregowana statystyka odwiedzin (adres strony bez parametrów zapytania, kraj, typ urządzenia). Bez plików cookie i bez profilowania.
• Microsoft Clarity — statystyki użycia i nagrania interakcji ze stroną, pomagające nam wykrywać problemy z użytecznością. Obszar podglądu dokumentu oraz pola formularzy są oznaczone do maskowania, aby treść umowy nie trafiała do nagrań. Clarity zapisuje własne pliki cookie. Przekazujemy mu zgodę tylko na analitykę — nie na reklamy.

Zgodę możesz w każdej chwili wycofać poniżej. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Hosting, dostawcy i przekazywanie danych

Serwis jest hostowany przez Vercel Inc. Dostawca hostingu, jak każdy serwer WWW, zapisuje techniczne logi dostępowe (adres IP, typ przeglądarki, żądany adres, czas). Przetwarzamy je w oparciu o uzasadniony interes polegający na zapewnieniu bezpieczeństwa i dostępności serwisu.

Dane opisane na tej stronie przetwarzają w naszym imieniu:

• Vercel Inc. (USA) — hosting, funkcje serwera i logi, a po wyrażeniu zgody Vercel Analytics. Funkcje obsługujące wysyłkę do podpisu działają we Frankfurcie (UE), ale Vercel przetwarza dane także w Stanach Zjednoczonych.
• Neon (Databricks, Inc., USA) — baza danych wysyłki do podpisu, na serwerach we Frankfurcie (UE).
• Resend (USA) — wysyłka e-maili z linkiem i przypomnień. Adresy odbiorców i dane o wiadomościach są przechowywane w Stanach Zjednoczonych.

Microsoft Clarity działa tylko po wyrażeniu zgody, a Microsoft jest przy nim odrębnym administratorem danych, nie podmiotem działającym w naszym imieniu. Dane trafiają do Microsoft Ireland Operations Limited i są przekazywane do centrów danych w USA. Zasady opisuje oświadczenie Microsoft o ochronie prywatności.

Gdy klikniesz „Pobierz dane z rejestru VAT”, Twoja przeglądarka wysyła wpisany NIP do Ministerstwa Finansów (wl-api.mf.gov.pl), które widzi też Twój adres IP. Robimy to tylko na Twoje kliknięcie.

Przekazanie danych do Stanów Zjednoczonych opiera się na decyzji Komisji Europejskiej o ramach ochrony danych UE–USA (EU-U.S. Data Privacy Framework), do których przystąpili Vercel, Databricks (Neon), Resend i Microsoft, a uzupełniająco na standardowych klauzulach umownych.

Administrator danych i Twoje prawa

Administratorem danych osobowych jest Gmbi Marek Papis, operator serwisu kalkulatorremontu.pl. Pełna informacja o administratorze, podstawach przetwarzania, okresach przechowywania, odbiorcach danych oraz o przysługujących Ci prawach (dostępu, sprostowania, usunięcia, ograniczenia, sprzeciwu, przenoszenia danych oraz skargi do Prezesa UODO) znajduje się w polityce prywatności serwisu głównego:

Polityka prywatności kalkulatorremontu.pl