Wersja z dnia 7 września 2026 r.
1. Administrator i kontakt
Administratorem danych osobowych w zKRS jest PageSEO Miler Sebastian, ul. Św. Filipa 23/6, 31-150 Kraków, NIP: nie podano. W sprawach prywatności, zgód i praw dotyczących danych skontaktuj się przez 
. Poniższe informacje dotyczą danych otrzymanych bezpośrednio oraz pozyskanych z rejestrów i innych źródeł.
2. Dane w wizytówkach i ich źródła
Z KRS, CEIDG i importowanych raportów pozyskujemy dostępne informacje o działalności: nazwę, NIP, REGON, KRS lub identyfikator CEIDG, formę prawną, status, adres, daty dotyczące działalności, PKD oraz dostępne dane rejestrowe i kontaktowe. Przechowujemy także źródło, datę pozyskania i rekord źródłowy potrzebny do weryfikacji danych.
Uzupełnienia obejmują opis, adres witryny, telefon, e-mail, social media, odnośniki do Google Maps i Trustpilot oraz współrzędne. Pochodzą od osób zgłaszających, administratora, z witryny firmy lub skonfigurowanych usług. Oceny Google są pozyskiwane przez Places API. Dane jednoosobowego przedsiębiorcy mogą stanowić dane osobowe mimo publicznego charakteru rejestru.
3. Formularze, opinie i dane techniczne
Przy zgłoszeniu zapisujemy dane firmy, treść zgłoszenia, e-mail osoby zgłaszającej, ewentualny telefon, czas i wynik moderacji. Przy założeniu konta zapisujemy adres e-mail, nazwę reprezentanta, bezpieczny skrót hasła, status i datę aktywacji oraz techniczne skróty tokenów aktywacyjnych. Zapisujemy też powiązanie konta z zaakceptowaną wizytówką, daty sprawdzenia danych i ważności linku potwierdzającego. Wniosek o przejęcie istniejącej wizytówki zawiera nazwę reprezentanta, e-mail aktywnego konta, numer telefonu, opis związku z firmą, daty i historię decyzji administratora. Przy opinii zapisujemy imię, e-mail, ocenę i treść. Przy zgłoszeniu błędu zapisujemy e-mail, opis problemu oraz powiązanie z wizytówką. Formularz kontaktowy przetwarza imię lub nazwę, adres e-mail, wybrany temat i treść wiadomości. Wiadomość trafia do prywatnej kolejki wysyłkowej i skrzynki administratora; serwis nie tworzy z niej publicznego wpisu.
Dla zgód zapisujemy kanał, decyzję, treść widoczną w formularzu, wersję, datę i techniczne potwierdzenie, w tym skrót adresu IP. Rejestrujemy też wycofanie zgody. Prywatny link wycofania jest powiązany z zapisanym skrótem tokenu.
Sesje i zabezpieczenia przetwarzają identyfikator sesji oraz liczniki prób. Serwer hostingowy może zapisywać adres IP, czas, żądany URL, rodzaj przeglądarki i błędy w swoich logach. Hasła administratorów i użytkowników są przechowywane jako bezpieczne skróty, a nie jawny tekst.
4. Cele i podstawy przetwarzania
Prowadzenie wyszukiwarki i udostępnianie danych o działalności gospodarczej: art. 6 ust. 1 lit. f RODO, czyli uzasadniony interes administratora i użytkowników w dostępie do informacji o firmach, z uwzględnieniem praw przedsiębiorców. Podstawą nie jest domniemana zgoda wynikająca z wpisu do rejestru.
Obsługa zgłoszenia firmy i świadczonej na żądanie użytkownika usługi: art. 6 ust. 1 lit. b RODO, a w odniesieniu do osoby reprezentującej przedsiębiorcę i wyjaśniania zgłoszeń — art. 6 ust. 1 lit. f. Akceptacja regulaminu i zapoznanie się z polityką nie oznaczają zgody na marketing.
Moderowanie opinii, zapobieganie nadużyciom, bezpieczeństwo, obsługa korespondencji i ustalanie lub obrona roszczeń: art. 6 ust. 1 lit. f RODO. Wykonanie obowiązków prawnych i żądań przewidzianych w RODO: art. 6 ust. 1 lit. c.
Marketing na wskazany e-mail: odrębna zgoda dotycząca tego kanału, art. 6 ust. 1 lit. a RODO oraz wymagania dotyczące komunikacji marketingowej. Dane są używane w tym celu tylko w granicach rzeczywiście udzielonej zgody. Historyczne oświadczenia dotyczące telefonu mogą pozostać w ewidencji wyłącznie jako dowód wcześniejszej decyzji i nie są zbierane przez obecny formularz.
5. Widoczność danych i odbiorcy
Opublikowane dane firmy i zatwierdzone opinie są dostępne w Internecie i mogą być indeksowane lub zapisywane przez wyszukiwarki. E-mail autora opinii oraz prywatne dane osoby zgłaszającej nie są publikowane w jej imieniu na wizytówce. Publiczny kontakt firmy pochodzi z osobnych pól.
Dostęp w niezbędnym zakresie mogą mieć upoważnione osoby obsługujące zKRS, hosting i wykonawcy wsparcia technicznego. W zależności od uruchomionych funkcji uczestniczą także dostawcy opisani poniżej. Eksport zgód jest dostępny dla uprawnionego administratora i obejmuje tylko aktualnie udzielone zgody.
6. Cloudflare Turnstile
Gdy Turnstile jest aktywny, formularze logowania, zgłoszenia firmy, przejęcia wizytówki, opinii i kontaktu łączą się z Cloudflare. Dostawca przetwarza token i dane techniczne przeglądarki oraz połączenia w celu oceny, czy działanie jest automatyczne. Token jest sprawdzany przez serwer zKRS; brak pozytywnej weryfikacji uniemożliwia wykonanie chronionej operacji. Nie jest to zgoda marketingowa.
Informacje dostawcy: https://www.cloudflare.com/privacypolicy/ oraz https://www.cloudflare.com/turnstile-privacy-addendum/
7. Mapy, oceny, opisy i inne witryny
Osadzona mapa łączy przeglądarkę z OpenStreetMap, co ujawnia dostawcy informacje techniczne potrzebne do jej wyświetlenia. Gdy administrator zleca wyliczenie współrzędnych, serwer zKRS wysyła publiczny adres firmy do usługi OpenStreetMap Nominatim i zapisuje wynik oraz datę sprawdzenia w pamięci podręcznej. Zasady OSM: https://osmfoundation.org/wiki/Privacy_Policy Można również skorzystać z odnośnika do wyszukania adresu w OSM.
Przy aktywnym pobieraniu ocen serwer zKRS wysyła identyfikator miejsca do Google Places i otrzymuje średnią oraz liczbę ocen i odnośnik do źródła. Nie pobiera pełnych treści opinii użytkowników Google w tym procesie. Informacje Google: https://policies.google.com/privacy Przejście do Google Maps, Trustpilot lub social media oznacza korzystanie z usługi danego operatora.
Gdy administrator zleca opis, OpenAI otrzymuje wybrane dane firmy, jej witrynę i przykładowy opis. Przy analizie WWW narzędzie OpenAI wyszukuje informacje w domenie firmy. Nie przesyłamy do tego procesu prywatnego e-maila osoby zgłaszającej jako osobnego pola. Dane firmy, zwłaszcza JDG, nadal mogą być danymi osobowymi. Nie należy umieszczać zbędnych danych prywatnych w materiale przykładowym. Informacje: https://openai.com/policies/privacy-policy/
Dostawcy mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym. Transfer wymaga podstawy przewidzianej w rozdziale V RODO, np. odpowiedniej decyzji o adekwatności albo standardowych klauzul umownych, zależnie od dostawcy i usługi. O zastosowane zabezpieczenia i informacje o odbiorcach można zapytać administratora pod .
8. Cookies i ustawienia przeglądarki
zKRS wykorzystuje niezbędny plik sesji ponipie_session do formularzy, ochrony CSRF oraz paneli administratora i użytkownika. Jego nazwa techniczna nie określa odrębnego administratora. Sesja nie jest narzędziem reklamy; sesja zalogowanej osoby wygasa po okresie bezczynności.
W obecnej wersji nie uruchamiamy analityki reklamowej ani pikseli marketingowych. Zewnętrzne komponenty bezpieczeństwa i map mogą korzystać z własnych mechanizmów zgodnie z informacjami ich dostawców. Ustawienia cookies i JavaScript można zmienić w przeglądarce; wyłączenie elementów niezbędnych może uniemożliwić przesłanie formularza.
9. Okres przechowywania
Informacje o firmach są przechowywane przez okres uzasadniony prowadzeniem aktualnego katalogu, z uwzględnieniem żądań, sprzeciwów i zmian źródeł. Zakończenie działalności nie zawsze oznacza automatyczne usunięcie informacji historycznej, lecz dalsze przetwarzanie wymaga uzasadnienia.
Zgłoszenia i korespondencja są potrzebne do ich rozpatrzenia, moderacji i wyjaśniania późniejszych kwestii. Dane marketingowe są wykorzystywane do wycofania zgody lub zakończenia danego celu. Dowody udzielenia i wycofania zgody mogą być zachowane przez okres niezbędny do wykazania prawidłowości działań lub obrony roszczeń; nie służą wtedy dalszemu marketingowi.
Czas przechowywania logów, importów, historii, wiadomości kontaktowych i kopii ustala administrator według celu, ryzyka bezpieczeństwa, niezbędności oraz terminów obowiązków i roszczeń. Dane z formularza kontaktowego są przechowywane w kolejce i skrzynce pocztowej przez czas potrzebny do udzielenia odpowiedzi, obsługi sprawy i obrony przed roszczeniami. Nie przechowuje się ich dłużej niż jest to potrzebne. Wycofanie zgody nie oznacza usunięcia wszystkich danych rejestrowych firmy. O konkretny okres dla swoich danych można zapytać pod .
10. Prawa osoby, której dane dotyczą
Możesz żądać dostępu do danych i kopii, sprostowania, usunięcia lub ograniczenia przetwarzania. Możesz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie, w tym w każdej chwili wobec marketingu bezpośredniego. Prawo przenoszenia dotyczy przypadków wskazanych w RODO. Możesz wycofać zgodę bez wpływu na zgodność wcześniejszego przetwarzania z prawem.
Wniosek prześlij na , wskazując wizytówkę i zakres żądania. Weryfikacja tożsamości powinna być proporcjonalna. Co do zasady odpowiadamy w ciągu miesiąca; jeżeli przepisy dopuszczają wydłużenie terminu, informujemy o nim i przyczynie. Uprawnienia podlegają warunkom i wyjątkom wynikającym z prawa. Przysługuje Ci skarga do Prezesa Urzędu Ochrony Danych Osobowych: https://uodo.gov.pl/
11. Dobrowolność i automatyzacja
Podanie danych oznaczonych jako wymagane jest potrzebne do obsługi formularza; pozostałe pola są dobrowolne. Brak zgody marketingowej nie blokuje zgłoszenia. Przy danych z rejestru nie zbieramy zgody na sam fakt pozyskania — zastosowanie mają wskazana podstawa, obowiązki informacyjne i prawa osoby.
Automatyzacja obejmuje importy, wyszukiwanie, aktualizację danych i oceny bezpieczeństwa. Nie służy podejmowaniu decyzji wywołujących wobec osób skutki prawne lub podobnie istotnie na nie wpływających w rozumieniu art. 22 RODO. Publiczne zgłoszenia i opisy AI podlegają decyzji administratora.
12. Aktualizacje informacji
Bieżąca wersja polityki jest dostępna pod stałym adresem, z datą dokumentu. Zmiany sposobu przetwarzania wymagają aktualizacji informacji i, gdy jest to wymagane, odrębnego przekazania ich osobom, których dane dotyczą. Samo opublikowanie polityki nie oznacza wykonania wszystkich indywidualnych obowiązków informacyjnych dotyczących danych z rejestrów.
13. Powiadomienia o zgłoszeniach i wiadomościach kontaktowych
Jeśli administrator włączy tę funkcję, adres zgłaszającego służy również do przekazania potwierdzenia zgłoszenia i decyzji moderacji. E-mail konta służy także do przesłania decyzji dotyczącej wniosku o przejęcie wizytówki. Adres konta służy do aktywacji konta i okresowego potwierdzania aktualności wyłącznie tych wizytówek, które zostały do niego przypisane. Wizytówki bez przypisanego konta nie są sprawdzane w ten sposób i nie powodują wysyłki takich wiadomości. Podstawą jest obsługa zgłoszenia lub konta (art. 6 ust. 1 lit. b RODO, a w przypadku przedstawiciela firmy — lit. f). W prywatnej kolejce przechowujemy adres odbiorcy, temat, treść i stan przekazania wiadomości serwerowi. Operatorem technicznym wysyłki jest dostawca hostingu administratora. Dane kolejki należy usuwać, gdy przestają być potrzebne do obsługi zgłoszenia, konta, diagnostyki lub uzasadnionej obrony roszczeń. Powiadomienia operacyjne nie wymagają zaznaczenia zgody marketingowej.