Polityka Prywatności

Data ostatniej aktualizacji: 29 września 2026

1. Administrator danych

Administratorem danych osobowych jest MIKHAIL MUKHANOV, jednoosobowa działalność gospodarcza, NIP: 7011125393, REGON: 524249314, ul. Obrzeżna 1B/59, 02-691 Warszawa (dalej „Administrator"). Kontakt: kontakt@supplio.pl.

2. Jakie dane zbieramy

Zbieramy następujące dane:

• Dane podane przez użytkownika: adres email, nazwa firmy, NIP dostawcy do sprawdzenia
• Dane zbierane automatycznie: adres IP, typ przeglądarki, system operacyjny, czas wizyty, strony odwiedzane (za pomocą plików cookie i narzędzi analitycznych, w zakresie i na zasadach opisanych w pkt 8)
• Dane osób kontaktowych i decyzyjnych po stronie klientów i potencjalnych klientów, prowadzone w naszej wewnętrznej ewidencji handlowej (CRM): imię i nazwisko, stanowisko, służbowy adres e-mail, numer telefonu oraz notatki handlowe. Dane te pozyskujemy bezpośrednio od tych osób albo z publicznych źródeł (m.in. KRS, CEIDG, strony firmowe, serwisy zawodowe).
• Numer telefonu komórkowego (z kraju Unii Europejskiej lub Europejskiego Obszaru Gospodarczego), podawany przy rejestracji bezpłatnego demo lub dodawany później w panelu klienta. Razem z nim zapisujemy: datę potwierdzenia numeru, zapis prób potwierdzenia (numer, adres e-mail, adres IP, czas wysłania kodu, liczba błędnych prób; sam kod przechowujemy wyłącznie w postaci skrótu kryptograficznego) oraz jednokierunkowy skrót numeru (HMAC-SHA256 z tajnym kluczem), który nie pozwala odtworzyć numeru bez tego klucza.
• Zgody marketingowe (SMS — w formularzu demo; e-mail — w panelu klienta po potwierdzeniu adresu e-mail): informacja, czy zgoda została udzielona, data, adres IP oraz dokładna treść zgody widoczna w chwili jej udzielenia.

3. Cel przetwarzania danych

Dane przetwarzamy w następujących celach:

• Wygenerowanie raportu AI o kontrahencie na podany adres email
• Realizacja płatności i obsługa zamówień
• Kontakt w sprawie usługi i odpowiedź na zapytania
• Analiza ruchu na stronie i ulepszanie serwisu (Google Analytics, Microsoft Clarity)
• Marketing bezpośredni własnych usług (na podstawie zgody)
• Prowadzenie relacji handlowych i wewnętrznej ewidencji sprzedaży (CRM) — kontakt z osobami reprezentującymi klientów i potencjalnych klientów
• Potwierdzenie numeru telefonu przy rejestracji bezpłatnego demo: wysłanie jednorazowego kodu SMS (sama wiadomość zawiera wyłącznie kod, bez linków i bez treści handlowych) i jego sprawdzenie
• Zapobieganie nadużyciom bezpłatnego demo: jeden numer telefonu może uruchomić demo tylko raz, a liczba kodów na numer i na adres IP jest ograniczona
• Wiadomości e-mail o przebiegu demo: potwierdzenie startu, wskazówka w trakcie, przypomnienie o zbliżającym się końcu i informacja o zakończeniu
• Wysyłanie informacji handlowych SMS-em lub e-mailem, wyłącznie gdy użytkownik udzielił odpowiedniej, dobrowolnej zgody (SMS — w formularzu demo lub w panelu klienta, e-mail — w panelu klienta)

4. Podstawa prawna

• Art. 6 ust. 1 lit. a RODO: zgoda użytkownika (formularz kontaktowy, zgoda marketingowa, zgoda na analityczne i reklamowe pliki cookie — pkt 8)
• Art. 6 ust. 1 lit. b RODO: wykonanie umowy lub podjęcie działań na żądanie osoby (wysłanie raportu, realizacja płatności)
• Art. 6 ust. 1 lit. c RODO: obowiązek prawny (dokumentacja podatkowa, faktury)
• Art. 6 ust. 1 lit. f RODO: prawnie uzasadniony interes administratora (pomiar ruchu bez plików cookie i bez identyfikatorów, gdy nie wyrażono zgody na pliki analityczne i reklamowe — pkt 8.3, zabezpieczenie roszczeń, prowadzenie działań handlowych i kontakt z osobami reprezentującymi klientów oraz potencjalnych klientów). Osobie, której dane dotyczą, przysługuje prawo sprzeciwu — wystarczy wiadomość na kontakt@supplio.pl.

4.1. Numer telefonu i bezpłatne demo

• Kod SMS potwierdzający numer nie jest informacją handlową. Wysyłamy go, bo użytkownik sam poprosił o uruchomienie demo, a potwierdzony numer jest warunkiem jego uruchomienia: art. 6 ust. 1 lit. b RODO. Ochrona formularza przed botami i ograniczenia liczby kodów służą bezpieczeństwu usługi: art. 6 ust. 1 lit. f RODO. Wysłanie kodu nie wymaga zgody marketingowej.
• Wiadomości e-mail o przebiegu demo dotyczą usługi, o którą poprosił użytkownik: art. 6 ust. 1 lit. b RODO. Nie zawierają cen. Wskazanie płatnego planu w wiadomości o zakończeniu demo pojawia się tylko u osób, które wyraziły zgodę na informacje handlowe e-mailem.
• Dwie zgody marketingowe (SMS oraz e-mail) są dobrowolne, domyślnie wyłączone i niezależne od siebie: art. 6 ust. 1 lit. a RODO. Zgodę na SMS można zaznaczyć w formularzu demo. Zgodę na informacje handlowe e-mailem można włączyć w panelu klienta (Profil i ustawienia, sekcja „Telefon i zgody”) po potwierdzeniu adresu e-mail, czyli po zalogowaniu kodem lub linkiem wysłanym na ten adres. W formularzu demo zgoda e-mailowa pojawia się tylko wtedy, gdy adres jest już potwierdzony. Brak zgody nie ogranicza demo ani dostępu do konta. Każdą zgodę można włączyć i wycofać jednym kliknięciem w tej samej sekcji panelu albo wycofać wiadomością na kontakt@supplio.pl. Wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.
• Zgody na informacje handlowe e-mailem nie zbieramy dla adresu, którego nikt nie potwierdził. Przy rejestracji potwierdzonej wyłącznie kodem SMS nie wysyłamy na ten adres informacji handlowych, a jedynie wiadomości o przebiegu demo. Jeżeli przy koncie pozostała zgoda zapisana przed potwierdzeniem adresu, usuwamy ją przy pierwszym potwierdzeniu adresu, czyli po pierwszym zalogowaniu kodem lub linkiem wysłanym na ten adres, bo nie wiemy, czy zaznaczyła ją osoba, do której należy adres.
• Konto założone samym kodem SMS mogła założyć inna osoba niż właściciel adresu. Jeżeli adres zostanie potwierdzony w tej samej przeglądarce, w której trwa sesja tego konta, niczego nie zmieniamy. W każdym innym przypadku przy pierwszym potwierdzeniu adresu e-mail kończymy wcześniejsze sesje tego konta i odłączamy od niego numer telefonu, zgodę na SMS oraz demo uruchomione z tego numeru, a po zalogowaniu pokazujemy o tym komunikat. Właściciel adresu może uruchomić własne demo. Jeżeli to on rejestrował konto, odzyska dotychczasowe demo (w pierwotnym terminie), potwierdzając ten sam numer kodem SMS.
• Jeżeli wysyłka SMS jest niedostępna (np. po wyczerpaniu miesięcznego limitu wiadomości), kod potwierdzający wysyłamy na adres e-mail. W takim przypadku numer telefonu zapisujemy jako niepotwierdzony, a demo jest przypisane wyłącznie do konta (adresu e-mail).
• Skrót numeru telefonu służy wyłącznie temu, by jeden numer mógł skorzystać z bezpłatnego demo tylko raz: art. 6 ust. 1 lit. f RODO (zapobieganie nadużyciom). Przechowujemy go przez 24 miesiące od uruchomienia demo, także po usunięciu konta, a po upływie tego okresu jest usuwany. Skrót nie pozwala odtworzyć numeru bez tajnego klucza, który przechowujemy oddzielnie, i nie łączymy go z innymi danymi usuniętego konta. Skrót jest danymi spseudonimizowanymi w rozumieniu art. 4 pkt 5 RODO. Można wnieść sprzeciw na kontakt@supplio.pl.
• Dotychczasowi użytkownicy nie muszą podawać numeru telefonu. Dostęp do konta i do raportów nie zależy od jego podania. Numer można dobrowolnie dodać w panelu klienta (Profil i ustawienia, „Dodaj numer telefonu”); potwierdzamy go tym samym kodem SMS.

5. Dane dostawców (NIP)

Numery NIP kontrahentów, które użytkownik podaje w celu analizy, służą do pobrania danych z publicznych rejestrów i wygenerowania raportu. Korzystamy z 12 źródeł: Biała Lista VAT (Ministerstwo Finansów), KRS (Krajowy Rejestr Sądowy, w tym e-KRS), CEIDG, GUS (REGON/BIR), BZP, VIES, CRBR, OpenSanctions, MGBI (sprawozdania finansowe z KRS-RDF), Rejestr.io, dane rejestracyjne domen (RDAP/WHOIS) oraz Internet Archive (Wayback Machine). Dane te pochodzą ze źródeł publicznych i ich przetwarzanie nie wymaga zgody podmiotu weryfikowanego.

Poza tą dwunastką: do porównania branżowego wykorzystujemy zbiorcze statystyki Eurostatu (SBS) — dane zagregowane dla całej branży, nieodnoszące się do konkretnej firmy. Integracja z KRZ (Krajowy Rejestr Zadłużonych) jest przygotowana, ale wyłączona — tego rejestru obecnie nie odpytujemy i raport wprost to sygnalizuje.

Odpowiedzi z rejestrów, wyliczoną ocenę ryzyka i wygenerowany raport przechowujemy (pamięć podręczna do 180 dni, wersje raportu wraz z danymi źródłowymi), aby nie odpytywać rejestrów przy każdym otwarciu i aby móc wykazać, na jakich danych oparto konkretny raport.

5.1. Lista wyłączeń NIP

Jeżeli podmiot weryfikowany skutecznie skorzysta z prawa do usunięcia danych (art. 17 RODO) lub wniesie skuteczny sprzeciw (art. 21 RODO), jego numer NIP trafia na wewnętrzną listę wyłączeń. Skutek: dla takiego numeru nie pobieramy danych z rejestrów, nie przechowujemy ich i nie wyświetlamy raportu.

• Zakres danych na liście: numer NIP, data wpisu oraz oznaczenie trybu, w jakim wpis powstał (np. rodo_request) — nic poza tym. Nie zapisujemy imienia, nazwiska, adresu e-mail ani treści wniosku.
• Podstawa prawna: art. 6 ust. 1 lit. c RODO w związku z art. 17 i art. 21 RODO — realizacja obowiązku wykonania żądania osoby, której dane dotyczą.
• Okres przechowywania: bezterminowo. Sam wpis jest jedynym mechanizmem, który powstrzymuje ponowne pobranie danych z rejestrów przy kolejnym zapytaniu — jego usunięcie oznaczałoby cofnięcie skutku żądania.
• Zdjęcie z listy: na wniosek podmiotu, na adres kontakt@supplio.pl.

6. Odbiorcy danych

Dane mogą być przekazywane:

• Stripe, Inc. (obsługa płatności oraz wykrywanie nadużyć — skrypt Stripe.js wczytujemy dopiero wtedy, gdy użytkownik rozpoczyna płatność; zbiera on wówczas podstawowe dane o przeglądarce i adresie odwiedzanej strony, także jeśli płatność nie zostanie dokończona) — na podstawie umowy powierzenia przetwarzania danych
• Google LLC (Google Analytics, Google Ads) — na podstawie standardowych klauzul umownych
• Microsoft Corporation (Clarity) — na podstawie standardowych klauzul umownych
• Apollo Data Company, Inc. (rozpoznawanie firm odwiedzających serwis, kontakt handlowy B2B) — na podstawie standardowych klauzul umownych
• OVH SAS (hosting) — na podstawie umowy powierzenia przetwarzania danych
• LINK Mobility Poland sp. z o.o. (SMSAPI, wysyłka kodu SMS potwierdzającego numer telefonu; otrzymuje numer telefonu i treść wiadomości, którą stanowi wyłącznie kod) — na podstawie umowy powierzenia przetwarzania danych; dane przetwarzane są w Europejskim Obszarze Gospodarczym
• Cloudflare, Inc. (Turnstile, ochrona formularza rejestracji demo przed botami; przetwarza adres IP oraz techniczne dane przeglądarki i urządzenia, jako podmiot przetwarzający), przekazanie do USA na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework, art. 45 RODO), a pomocniczo standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO)

Nie sprzedajemy danych osobowych podmiotom trzecim.

7. Okres przechowywania

• Dane z formularzy: do 2 lat od ostatniego kontaktu lub do cofnięcia zgody
• Dane transakcyjne (płatności): 5 lat (obowiązek podatkowy)
• Dane analityczne (Google Analytics): 14 miesięcy
• Dane osób kontaktowych w ewidencji handlowej (CRM): 3 lata od ostatniego kontaktu handlowego lub do wniesienia skutecznego sprzeciwu
• Odpowiedzi z rejestrów publicznych i wygenerowane raporty (pamięć podręczna): do 180 dni; wersje raportu wraz z danymi źródłowymi — do czasu usunięcia na żądanie
• Lista wyłączeń NIP (pkt 5.1): bezterminowo — patrz uzasadnienie tam
• Numer telefonu przypisany do konta i data jego potwierdzenia: do usunięcia konta (na żądanie wysłane na kontakt@supplio.pl)
• Zapis prób potwierdzenia numeru (numer, adres e-mail, adres IP, czas, liczba prób): 90 dni od wysłania kodu, potem jest automatycznie usuwany
• Zgody marketingowe wraz z datą, adresem IP i treścią: do usunięcia konta, także po wycofaniu zgody, abyśmy mogli wykazać, że zgoda była udzielona i kiedy została wycofana
• Skrót numeru telefonu (pkt 4.1) w rejestrze demo: 24 miesiące od uruchomienia demo, także po usunięciu konta, potem jest automatycznie usuwany. Przez ten czas blokuje ponowne uruchomienie bezpłatnego demo z tego samego numeru. Skrót zapisany przy koncie usuwamy razem z numerem przy usunięciu konta. W dzienniku wysyłek SMS skrótu nie zapisujemy; wpisy sprzed 26 września 2026, które go zawierają, tracą go automatycznie po 24 miesiącach od wysłania wiadomości
• Pliki cookie: okresy podane przy każdym pliku w pkt 8.1; każdy z nich można wcześniej usunąć w przeglądarce

8. Pliki cookie i narzędzia analityczne

Serwis korzysta z plików cookie (małych plików zapisywanych w przeglądarce) oraz z narzędzi analitycznych i marketingowych dostawców zewnętrznych. Przy pierwszej wizycie pokazujemy baner, w którym można zaakceptować wszystkie kategorie, odrzucić je jednym kliknięciem albo wybrać je osobno w ustawieniach. Dopóki nie wyrazisz zgody, zapisujemy i odczytujemy w Twojej przeglądarce wyłącznie niezbędne pliki cookie; skrypt Google działa wtedy w trybie bez plików cookie (pkt 8.3).

8.1. Kategorie plików cookie

• Niezbędne (zawsze aktywne, bez zgody, bo bez nich serwis nie działa lub nie da się zapamiętać Twojego wyboru):
  • supplio_session — sesja zalogowanego użytkownika; 30 dni,
  • supplio_consent — zapis Twojego wyboru w banerze (wersja, kategorie, data); 12 miesięcy,
  • supplio_admin — sesja panelu administratora serwisu (dotyczy wyłącznie administratora); 1 rok,
  • __stripe_mid, __stripe_sid — pliki Stripe (operator płatności) służące wykrywaniu nadużyć przy płatnościach; zapisywane dopiero wtedy, gdy rozpoczynasz płatność (przycisk zakupu raportu lub subskrypcji na stronie raportu), a nie przy zwykłym odwiedzaniu serwisu; do 1 roku i 30 minut.
• Analityczne (tylko za zgodą, przełącznik „Analityka”):
  • Google Analytics 4 (Google Ireland Ltd. / Google LLC) — statystyki odwiedzin; pliki _ga i _ga_*, do 2 lat,
  • Microsoft Clarity (Microsoft Corporation) — analiza zachowań użytkowników, w tym nagrania sesji; pliki _clck (1 rok) i _clsk (1 dzień),
  • źródło wizyty — parametry kampanii utm_* z adresu strony, pierwsza odwiedzona strona serwisu oraz adres strony zewnętrznej, z której do nas trafiłeś; zapisujemy je w pamięci sesji przeglądarki (supplio_attr_v2, do zamknięcia karty), a gdy poprosisz o kod dostępu, dołączamy je do Twojego zgłoszenia, aby wiedzieć, skąd przychodzą klienci. Zbieramy je także przy samej zgodzie na „Reklamę”.
  • znacznik wizyty z reklamy — sama informacja tak/nie (supplio_paid_visit = 1), że wizyta zaczęła się od kliknięcia reklamy, bez identyfikatora kliknięcia; zapisujemy go w pamięci sesji przeglądarki (do zamknięcia karty), aby w anonimowych, dziennych statystykach (podgląd raportu, oferta demo, rejestracja) policzyć wejścia z reklam. Zapisujemy go także przy samej zgodzie na „Reklamę”.
• Reklamowe (tylko za zgodą, przełącznik „Reklama”):
  • Google Ads (Google Ireland Ltd. / Google LLC) — pomiar skuteczności naszych kampanii i dopasowanie reklam; pliki _gcl_* (np. _gcl_au), 90 dni,
  • identyfikator kliknięcia reklamy Google (gclid) z adresu strony — zapisywany w tej samej pamięci sesji (supplio_attr_v2) i dołączany do zgłoszenia przy prośbie o kod dostępu, aby powiązać je z kampanią,
  • Apollo.io (Apollo Data Company, Inc.) — rozpoznawanie firm odwiedzających serwis.

8.2. Podstawa prawna

Pliki analityczne i reklamowe, a także dane źródła wizyty w pamięci przeglądarki, zapisujemy i odczytujemy wyłącznie po wyrażeniu zgody: art. 399 ustawy Prawo komunikacji elektronicznej oraz art. 6 ust. 1 lit. a RODO. Pliki niezbędne nie wymagają zgody (art. 399 ust. 3 Prawa komunikacji elektronicznej), a dane z nich przetwarzamy w celu świadczenia usługi, o którą prosi użytkownik (art. 6 ust. 1 lit. b RODO), oraz zapobiegania nadużyciom (art. 6 ust. 1 lit. f RODO).

8.3. Co się dzieje, gdy nie wyrazisz zgody

Korzystamy z trybu zgody Google (Consent Mode v2). Zanim wybierzesz, i po odrzuceniu, skrypt Google nadal się wczytuje, ale nie zapisuje ani nie odczytuje plików cookie Google. Do Google trafiają wtedy wyłącznie sygnały bez plików cookie i bez identyfikatorów użytkownika: informacja o wyświetleniu strony lub o konwersji (np. rozpoczęciu bezpłatnego demo) oraz o stanie zgody. Jak przy każdym połączeniu z serwerem, Google otrzymuje przy tym adres IP urządzenia. Microsoft Clarity i Apollo.io bez zgody w ogóle się nie uruchamiają. Bez zgody nie zapisujemy też w przeglądarce źródła wizyty (parametrów utm_*, strony wejścia, adresu strony poprzedniej) ani identyfikatora kliknięcia reklamy (gclid) i nie dołączamy ich do zgłoszenia przy prośbie o kod dostępu.

Narzędzia analityczne i reklamowe zapisujące lub odczytujące pliki cookie (Google Analytics i Google Ads z plikami cookie, Microsoft Clarity, Apollo.io) uruchamiamy wyłącznie po wyrażeniu zgody. Nie wykorzystujemy ich do profilowania wywołującego skutki prawne wobec użytkownika ani nie sprzedajemy zebranych danych.

Na stronie raportu Microsoft Clarity i Apollo.io uruchamiają się dodatkowo dopiero po wczytaniu danych raportu, a nie od razu przy wejściu, i tylko wtedy, gdy wyrażono na nie zgodę. Skrypt Stripe.js (wykrywanie nadużyć) wczytujemy dopiero po kliknięciu przycisku zakupu lub subskrypcji.

8.4. Jak zmienić lub wycofać zgodę

Wybór zmienisz w każdej chwili przez link „Ustawienia cookies” w stopce każdej strony serwisu. Zmiana działa od razu. Po wycofaniu zgody usuwamy pliki cookie Google Analytics, Google Ads i Microsoft Clarity zapisane w domenie supplio.pl oraz dane źródła wizyty z pamięci sesji przeglądarki (po wycofaniu zgody na „Reklamę” identyfikator gclid, a gdy nie zostaje żadna zgoda, cały zapis supplio_attr_v2 oraz znacznik supplio_paid_visit), a przy kolejnych wizytach narzędzia tej kategorii się nie uruchamiają. Skrypt Apollo.io nie daje się zatrzymać w trakcie działania, dlatego jeśli wycofasz zgodę na „Reklamę” po jego uruchomieniu, strona odświeży się automatycznie i po odświeżeniu Apollo.io już się nie uruchomi. Dane źródła wizyty dołączone do zgłoszenia przed wycofaniem zgody usuniemy na żądanie wysłane na kontakt@supplio.pl. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed jej wycofaniem. Po 12 miesiącach, albo gdy zmienimy zakres zgód, zapytamy ponownie.

Link do raportu może zawierać numer NIP (np. supplio.pl/raport/<NIP>). Na stronie raportu i na stronie rejestracji demo usuwamy numer NIP z paska adresu przeglądarki, zanim uruchomi się jakiekolwiek narzędzie Google. Strona zapamiętuje go wyłącznie w przeglądarce użytkownika (pamięć sesji danej karty). Dzięki temu ani adres odwiedzanej strony, ani adres strony poprzedniej, które trafiają do Google Analytics i Google Ads, nie zawierają numeru NIP. Strony panelu klienta, których adres zawiera NIP, przekazują jako stronę poprzednią wyłącznie domenę serwisu. W parametrach zdarzeń analitycznych nie przesyłamy numeru NIP, najwyżej jego trzy pierwsze cyfry.

Na stronie rejestracji demo skrypt Cloudflare Turnstile odczytuje techniczne dane przeglądarki. Jest to niezbędne do świadczenia usługi, o którą prosi użytkownik (ochrona przed botami), dlatego nie wymaga zgody.

Niezależnie od ustawień w serwisie możesz też ograniczyć te narzędzia:

• w ustawieniach przeglądarki (blokowanie i usuwanie plików cookie),
• instalując dodatek blokujący Google Analytics: https://tools.google.com/dlpage/gaoptout,
• korzystając z trybu prywatnego lub rozszerzeń blokujących skrypty śledzące.

Sprzeciw wobec przetwarzania w celach analitycznych można zgłosić na kontakt@supplio.pl — realizujemy takie wnioski niezwłocznie.

9. Prawa użytkownika

Zgodnie z RODO przysługują Ci następujące prawa:

• Prawo dostępu do swoich danych
• Prawo do sprostowania danych
• Prawo do usunięcia danych („prawo do bycia zapomnianym")
• Prawo do ograniczenia przetwarzania
• Prawo do przenoszenia danych
• Prawo do sprzeciwu wobec przetwarzania
• Prawo do cofnięcia zgody w dowolnym momencie

Aby skorzystać z tych praw, wyślij email na: kontakt@supplio.pl. Zgody marketingowe (SMS i e-mail) możesz też włączyć lub wycofać samodzielnie w panelu klienta: Profil i ustawienia, sekcja „Telefon i zgody”.

10. Organ nadzorczy

W przypadku naruszenia przetwarzania danych osobowych masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa.

11. Zmiany polityki

Zastrzegamy sobie prawo do zmian w niniejszej Polityce Prywatności. O istotnych zmianach poinformujemy na stronie serwisu.