Polityka prywatności i plików cookies

Wersja 1.2 · obowiązuje od 15 października 2026 r. · zastępuje wersję 1.1 obowiązującą od 1 października 2026 r.

Polityka prywatności i plików cookies iApprove

Ta polityka wyjaśnia, jak Baster Ventures sp. z o.o. przetwarza dane osobowe w związku z platformą iApprove (app.iapprove.pl), stroną internetową iapprove.pl oraz kontaktem z nami. Realizuje obowiązki informacyjne z art. 13 i 14 RODO¹ i opisuje pliki cookies oraz inne informacje zapisywane w przeglądarce. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

1. Kto odpowiada za Twoje dane

iApprove łączy dwie role. Część danych przetwarzamy we własnym imieniu, jako administrator. Część — w imieniu Klienta (spółki, kancelarii, funduszu), który jest ich administratorem, a my działamy na jego polecenie na podstawie Umowy powierzenia.

Administrator: Baster Ventures sp. z o.o., ul. Lubostroń 1, 30-383 Kraków, KRS 0000385486, NIP 6772357455, REGON 121526033. Kontakt w sprawach danych osobowych: kontakt@iapprove.pl, w temacie „RODO – iApprove”. Nie wyznaczyliśmy inspektora ochrony danych; sprawy danych prowadzi bezpośrednio zarząd.

Jeżeli Twoje dane znalazły się w iApprove dlatego, że pełnisz funkcję w spółce albo jesteś jej wspólnikiem lub pełnomocnikiem, a nie masz konta — administratorem jest ta spółka lub obsługujący ją Klient. Możesz kontaktować się z nim bezpośrednio albo z nami; żądanie przekażemy Klientowi (pkt 9).

2. Czyje dane i skąd je mamy

Użytkownik (osoba z kontem). Imię, nazwisko i adres e-mail podajesz przy zakładaniu konta albo otrzymujemy je od Google, jeżeli logujesz się kontem Google (identyfikator konta Google, adres e-mail, imię i nazwisko). Numer PESEL podajesz sam — do czasu potwierdzenia ma status zadeklarowanego. Dane potwierdzone pochodzą z wybranej przez Ciebie Metody Potwierdzenia Tożsamości (pkt 3). Platforma zapisuje też dane techniczne: adres IP, informację o przeglądarce i urządzeniu, czas logowania oraz Twoje czynności w osobistym rejestrze.

Osoba reprezentująca Klienta. Imię, nazwisko, adres e-mail, nazwa i dane rejestrowe Klienta, dane do faktury — od Ciebie lub od Klienta.

Osoby wymienione w dokumentach i rejestrze spółki. Członkowie zarządu i rady nadzorczej, prokurenci, likwidatorzy, wspólnicy i akcjonariusze, pełnomocnicy, notariusze sporządzający akty. Ich dane (imię, nazwisko, funkcja, a w zakresie ujawnionym w rejestrze lub potrzebnym do dokumentów — PESEL, data urodzenia, adres) pochodzą z Krajowego Rejestru Sądowego (pobieranego przez dostawców danych rejestrowych), z dokumentów wgranych przez Klienta albo od Użytkowników działających w jego imieniu.

Osoba wypełniająca formularz danych. Spółka może poprosić Cię — linkiem wysłanym e-mailem — o podanie danych potrzebnych do dokumentów (np. adresu do listy wspólników). Formularz zapisuje dane, które w nim wpiszesz; administratorem jest spółka, która o nie prosi.

Osoba zgłaszająca sprawę. Adres e-mail, treść zgłoszenia i — jeśli na to pozwolisz — techniczny kontekst ekranu, na którym byłeś.

Odwiedzający stronę iapprove.pl. Adres IP i dane techniczne zapisywane w logach serwera.

3. Potwierdzenie tożsamości

iApprove ustala, kto może działać za spółkę, zestawiając Twoje dane identyfikacyjne z danymi rejestru. Dlatego Profil Użytkownika rozróżnia dane zadeklarowane i potwierdzone.

Tożsamość potwierdzasz Metodą Potwierdzenia Tożsamości dostępną na Platformie — aktualny wykaz widzisz w swoim profilu. Obecnie jest to potwierdzenie przez operatora Platformy — na podstawie osobistej znajomości albo okazanego dokumentu tożsamości. Zapisujemy podstawę potwierdzenia, datę i osobę potwierdzającą; nie zapisujemy numeru ani kopii dokumentu. Wynik, metoda, poziom i data potwierdzenia trafiają do Twojego Profilu.

Gdy podpisujesz dokument własnym kwalifikowanym podpisem elektronicznym, porównujemy numer PESEL z certyfikatu z numerem przypisanym do Ciebie w Platformie. Weryfikację podpisu wykonujemy na własnym serwerze — plik nie trafia w tym celu do podmiotów trzecich. Jeżeli numery się różnią, czynność zostaje wstrzymana do czasu wyjaśnienia; nie jest to decyzja w rozumieniu art. 22 RODO.

Klient widzi status (potwierdzona / niepotwierdzona) i poziom potwierdzenia Twojej tożsamości. Nie widzi szczegółów procesu potwierdzenia ani numeru PESEL podanego przez Ciebie w Profilu. Jeżeli jednak figurujesz w KRS jako członek organu, wspólnik, prokurent lub likwidator spółki, Twój numer PESEL jest jawną daną rejestru — w tej spółce mogą go wyświetlić członkowie zarządu i osoby z uprawnieniem do danych osobowych; każde wyświetlenie jest zapisywane w Audit Trail.

4. Po co przetwarzamy dane i na jakiej podstawie

Dotyczy danych, których administratorem jest Baster Ventures.

Danych, których administratorem jest Klient, używamy wyłącznie do świadczenia mu usługi — w celach i zakresie określonych w Umowie powierzenia. Nie używamy ich do własnych celów, marketingu ani do trenowania modeli AI.

5. Sztuczna inteligencja w iApprove

Funkcje oparte na modelu językowym są domyślnie wyłączone. Analizę dokumentów włącza administrator organizacji Klienta, a asystenta — zarząd lub administrator w ustawieniach danej spółki. Każdą z tych funkcji można w każdej chwili wyłączyć. Bez nich iApprove działa w pełnym zakresie pozostałych funkcji.

Co robi AI. Po włączeniu model językowy:

• odczytuje postanowienia umowy spółki i innych dokumentów ustrojowych i proponuje ich zapis jako reguł spółki;
• rozpoznaje rodzaj i treść wgranych dokumentów (np. uchwał, protokołów, aktów notarialnych) i proponuje ich przypisanie;
• odczytuje składy organów i wspólników, żeby porównać je z danymi z KRS;
• rozpisuje ujawniony w KRS sposób reprezentacji spółki na regułę reprezentacji;
• odpowiada na pytania w asystencie — na podstawie danych spółki w iApprove i dołączonych do rozmowy plików.

Czego AI nie robi. Model nie zapisuje zmian w danych spółki — każdą propozycję zatwierdza człowiek. Nie głosuje, nie podpisuje, nie składa oświadczeń w imieniu spółki i nie podejmuje decyzji wywołujących skutki prawne. Odpowiedzi asystenta nie są poradą prawną.

Jakie dane trafiają do modelu. Do modelu przekazujemy treść dokumentu lub pytania w zakresie potrzebnym do wykonania zadania. Dokumenty spółek zawierają zwykle dane osobowe (imiona i nazwiska, funkcje, czasem numery PESEL i adresy). W rozmowach z asystentem imiona i nazwiska osób powiązanych ze spółką zastępujemy przed wysłaniem oznaczeniami zastępczymi i przywracamy je w odpowiedzi; mechanizm ten ogranicza zakres przekazywanych danych, ale go nie wyklucza — np. w załączonych plikach. Numerów PESEL zapisanych w danych iApprove asystent nie otrzymuje. Dokumenty przekazane do analizy i pliki dołączone do rozmowy wysyłamy jednak do modelu w całości — z danymi osobowymi, które zawierają, w tym numerami PESEL i adresami. Z wyników analizy dokumentów usuwamy numery PESEL przed zapisem.

Kto dostarcza model. Anthropic Ireland, Limited (model Claude), z przetwarzaniem w Stanach Zjednoczonych (pkt 7). Dostawca działa jako dalszy podmiot przetwarzający, nie wykorzystuje danych przekazywanych przez API do trenowania modeli i przechowuje je wyłącznie przez okres przewidziany w swoich warunkach dla klientów biznesowych.

Rozmowy z asystentem usuwamy po 90 dniach od ostatniej wiadomości, a pliki dołączone wyłącznie do rozmowy — po 7 dniach.

Niezależnie od ustawień organizacji z pomocą modelu możemy wstępnie uporządkować zgłoszenie wysłane do pomocy technicznej (pkt 4) — tylko gdy przy zgłoszeniu zaznaczysz „Zgoda na wstępną analizę przez model AI” (kontekst techniczny dołączamy tylko, gdy zaznaczysz osobne pole „Dołącz kontekst techniczny”); numery PESEL usuwamy ze zgłoszeń przed zapisem. Model analizuje też dla nas publikowane teksty ustaw, żeby śledzić zmiany prawa — bez żadnych danych osobowych.

6. Komu przekazujemy dane

Dane przekazujemy tylko tym, bez których usługa nie działa, i tylko w potrzebnym zakresie:

• dostawcom, którzy przetwarzają dane na nasze zlecenie — serwer i kopie zapasowe, wysyłka e-maili, monitorowanie błędów, model AI (po włączeniu), pośrednik zapytań do rejestru. Aktualny, imienny wykaz z lokalizacją przetwarzania prowadzimy na stronie Podprocesorzy;
• Klientowi, w imieniu którego działasz — w zakresie statusu potwierdzenia tożsamości oraz danych identyfikacyjnych potrzebnych w Dokumentach Korporacyjnych, w których występujesz;
• dostawcy podpisu elektronicznego (Autenti sp. z o.o.) — gdy podpisujesz dokument za jego pośrednictwem; w zakresie usługi zaufania działa on na podstawie własnego regulaminu, jako odrębny administrator;
• operatorowi płatności (Stripe) — przy opłacaniu subskrypcji; w zakresie obowiązków własnych (np. przeciwdziałanie oszustwom) działa jako odrębny administrator;
• Google — tylko jeśli sam wybierzesz logowanie kontem Google, połączysz Kalendarz Google lub wybierzesz plik z Dysku Google; dane trafiają wtedy do Twojego konta Google na podstawie Twojej umowy z Google;
• organom publicznym i sądom — gdy wymagają tego przepisy.

Nie sprzedajemy danych i nie udostępniamy ich w celach marketingowych.

7. Przekazywanie danych poza Europejski Obszar Gospodarczy

Baza danych i pliki przechowywane są na naszym serwerze w Unii Europejskiej, a kopie zapasowe — w centrum danych w Unii Europejskiej. Część dostawców ma jednak siedzibę lub infrastrukturę w Stanach Zjednoczonych:

Transfer odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU–US Data Privacy Framework) — w odniesieniu do dostawców nim objętych — albo standardowych klauzul umownych przyjętych przez Komisję, wraz z dodatkowymi zabezpieczeniami (szyfrowanie, minimalizacja danych). Kopię zabezpieczeń możesz otrzymać na żądanie.

8. Jak długo przechowujemy dane

Dane, których administratorem jest Klient, przechowujemy przez czas trwania Umowy Klienta i zgodnie z jego poleceniami (Umowa powierzenia, § 11). Usunięta osoba znika z kopii zapasowych w chwili ich nadpisania; do tego czasu dane w kopii nie są używane.

9. Twoje prawa

Masz prawo:

• dostępu do danych i otrzymania ich kopii — kopię danych swojego konta pobierzesz samodzielnie w zakładce „Mój profil”;
• sprostowania danych;
• usunięcia danych — konto usuniesz samodzielnie w ustawieniach konta („Usuń konto”); zapisy, które musimy zachować (pkt 8), pozostają do końca okresu przechowywania;
• ograniczenia przetwarzania;
• przenoszenia danych przetwarzanych na podstawie umowy;
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f);
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

Odpowiadamy w ciągu miesiąca od otrzymania żądania. Jeżeli żądanie dotyczy danych, których administratorem jest Klient, przekazujemy je Klientowi bez zbędnej zwłoki i pomagamy mu je zrealizować.

10. Jak chronimy dane

• połączenia szyfrowane (TLS);
• numery PESEL, adresy, tokeny dostępu i treść rozmów z asystentem szyfrowane w bazie danych; dokumenty i pliki szyfrowane w magazynie plików, rozdzielonym między organizacje;
• Audit Trail, którego wpisów nie da się zmienić ani usunąć — blokada w bazie danych i łańcuch sum kontrolnych;
• dostęp do danych spółki według ról i funkcji w organach;
• token dostępu przechowywany wyłącznie w pamięci otwartej karty, a token podtrzymujący sesję — w pliku cookie niedostępnym dla skryptów strony;
• kopie zapasowe w dwóch lokalizacjach, kopia zewnętrzna szyfrowana;
• maskowanie danych osobowych w raportach błędów.

Szczegółowy opis środków zawiera Załącznik 2 do Umowy powierzenia. Naruszenie ochrony danych zgłaszamy Prezesowi UODO w ciągu 72 godzin, a Ciebie zawiadamiamy bez zbędnej zwłoki, jeżeli może ono powodować wysokie ryzyko dla Twoich praw.

11. Pliki cookies i pamięć przeglądarki

Zgodnie z art. 399 ustawy z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej zapisujemy w Twojej przeglądarce tylko informacje niezbędne do działania usługi, o którą prosisz. Nie wymagają one zgody, dlatego nie wyświetlamy baneru cookies. Nie używamy plików cookies analitycznych, reklamowych ani śledzących i nie korzystamy z narzędzi analityki zewnętrznej.

Pliki cookies Platformy (app.iapprove.pl)

Pamięć przeglądarki (localStorage, sessionStorage) — zapisujemy w niej ustawienia interfejsu potrzebne do wygody pracy: wybraną spółkę i listę Twoich spółek, ostatnio używany folder Dysku Google, potwierdzenia wyświetlenia komunikatów, tymczasowe dane podręczne rejestru oraz stan rozpoczętej rejestracji. Dane z sessionStorage znikają po zamknięciu karty, a dane rozpoczętej rejestracji usuwamy także przy wylogowaniu.

Strona iapprove.pl nie zapisuje plików cookies.

Zapisane informacje możesz w każdej chwili usunąć w ustawieniach przeglądarki. Zablokowanie plików cookies Platformy uniemożliwi zalogowanie.

12. Decyzje automatyczne

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO). Dopasowanie Roli i propozycje AI są podpowiedzią: zatwierdza je człowiek, a dane z rejestru możesz ręcznie poprawić — korekta zostaje odnotowana w Audit Trail.

13. Czy musisz podać dane

Podanie danych jest dobrowolne, ale bez imienia, nazwiska, adresu e-mail i danych identyfikacyjnych nie założysz konta i nie dokonasz czynności wymagających potwierdzenia tożsamości lub podpisu. Wybór Metody Potwierdzenia Tożsamości należy do Ciebie.

14. Zmiany polityki

Politykę aktualizujemy, gdy zmieniają się przepisy, funkcje iApprove albo dostawcy. Pod adresem tej strony zawsze jest wersja aktualna; treść wcześniejszych wersji przekażemy na żądanie. O istotnych zmianach informujemy e-mailem lub komunikatem w Platformie.