Polityka prywatności
Ostatnia aktualizacja: 20 października 2026
English · Français · Nederlands · Deutsch · Español · Português · Italiano · עברית · Polski
1. Kim jesteśmy
Niniejsza polityka wyjaśnia, w jaki sposób VU Credentials Ltd („VU”, „my”, „nas”) przetwarza dane osobowe. Spółka jest zarejestrowana w Anglii i Walii pod numerem 17527869, a jej siedziba statutowa mieści się pod adresem 20 Wenlock Road, London, England, N1 7GU.
W odniesieniu do danych osobowych opisanych w sekcji 3, z wyjątkiem ostatniego wiersza zamieszczonej tam tabeli, jesteśmy administratorem w rozumieniu brytyjskiego prawa ochrony danych (UK GDPR, czyli brytyjskiej wersji RODO, oraz ustawy Data Protection Act 2018). Pytania i wnioski dotyczące prywatności prosimy kierować na adres legal@vucredentials.com.
2. Czyje dane i jaka jest nasza rola
Jesteśmy administratorem danych osobowych dotyczących:
- osób, które korzystają z panelu VU w imieniu naszych klientów;
- osób, które ubiegają się o konto lub kontaktują się z nami;
- członków zarządu i właścicieli spółek składających wniosek, których sprawdzamy na listach sankcyjnych;
- osób odwiedzających naszą stronę internetową i korzystających z naszego API.
Jesteśmy podmiotem przetwarzającym w odniesieniu do danych osobowych posiadaczy i weryfikatorów poświadczeń, które nasi klienci umieszczają w poświadczeniach lub prezentacjach. Administratorem jest klient, który wydał poświadczenie, i to jego polityka prywatności ma zastosowanie: w sprawie tych danych prosimy kontaktować się z nim. Przetwarzamy je wyłącznie w celu świadczenia Usługi, zgodnie z naszymi Warunkami korzystania z usługi (sekcja 10, po angielsku).
3. Jakie dane zbieramy
| Kogo dotyczą | Jakie dane i skąd pochodzą |
|---|---|
| Osoby odwiedzające stronę internetową i korzystające z API | Adres IP, czas, żądana strona lub adres API, odpowiedź oraz typ przeglądarki. Rejestrowane przez nasze serwery. |
| Wnioskodawcy | Pełna nazwa prawna Państwa firmy, kraj, numer rejestrowy i numer VAT, kontaktowy adres e-mail oraz wszystko, co Państwo wpiszą we wniosku. Pochodzą od Państwa. |
| Członkowie zarządu i właściciele spółek składających wniosek | Imiona i nazwiska oraz inne dane widoczne w rejestrze publicznym, wraz z wynikiem naszej kontroli na listach sankcyjnych. Pochodzą z publicznych rejestrów spółek, takich jak Companies House, z brytyjskiej listy sankcyjnej (UK Sanctions List) i z amerykańskiej listy OFAC. |
| Użytkownicy panelu | Adres e-mail, wyświetlana nazwa i rola. Rejestrowane przez Państwa klucze dostępu (passkeys): klucz publiczny, wybrana przez Państwa etykieta urządzenia i czas ostatniego użycia każdego z nich. Jednorazowe linki do logowania, które wygasają po 10 minutach i działają tylko w przeglądarce, w której o nie poproszono. Tokeny sesji, ważne 8 godzin. Zapis czynności wykonanych na Państwa koncie (dziennik audytu) wraz z adresem IP, z którego pochodziła każda z nich. Nazwy kluczy API oraz czas ich utworzenia i ostatniego użycia; nigdy sam klucz, który przechowujemy wyłącznie jako jednokierunkowy skrót (hash). |
| Płatnicy – od chwili uruchomienia płatności w stablecoinach | Rejestrowane przez Państwa adresy portfeli, transakcje, którymi Państwo nam płacą (hash, kwota, sieć, token), wyniki kontroli na listach sankcyjnych oraz dane rozliczeniowe na Państwa fakturach. |
| Każda osoba, która do nas pisze | Państwa wiadomości e-mail i nasze odpowiedzi. |
| Posiadacze i weryfikatorzy poświadczeń (jako podmiot przetwarzający) | Atrybuty, które nasi klienci umieszczają w poświadczeniach, przechowywane przez cały okres istnienia konta klienta, aby mógł je przeglądać, unieważniać i zawieszać. Prezentacje przekazane weryfikatorom oraz zweryfikowane w nich atrybuty, usuwane 30 dni po zakończeniu żądania. Zdarzenia wysyłane do własnych systemów naszych klientów (webhooki), które mogą powtarzać te atrybuty, usuwane 30 dni po ich wysłaniu. |
4. W jakim celu je wykorzystujemy i na jakiej podstawie prawnej
| Cel | Podstawa prawna |
|---|---|
| Świadczenie Usługi: konta, logowanie, wydawanie i weryfikacja poświadczeń, rozliczenia, wsparcie | Umowa z naszym klientem; w przypadku członków jego zespołu – nasz prawnie uzasadniony interes w świadczeniu usługi, którą klient nabył |
| Zapewnienie bezpieczeństwa Usługi i zapobieganie nadużyciom: dzienniki żądań, dziennik audytu, limity liczby żądań | Prawnie uzasadnione interesy |
| Sprawdzanie wnioskodawców, członków ich zarządu i ich właścicieli, portfeli, płatności i zwrotów na listach sankcyjnych | Obowiązek prawny: brytyjskie prawo sankcyjne zakazuje udostępniania środków lub usług osobom objętym sankcjami. Ponadto nasz prawnie uzasadniony interes w wykazaniu, że dołożyliśmy należytej staranności |
| Prowadzenie dokumentacji podatkowej i księgowej oraz wystawianie faktur | Obowiązek prawny |
| Wiadomości e-mail dotyczące Państwa konta i Usługi, takie jak linki do logowania, potwierdzenia płatności i zmiany naszych warunków | Umowa oraz prawnie uzasadnione interesy |
Nie wysyłamy wiadomości marketingowych i nie sprzedajemy danych osobowych.
5. Komu je udostępniamy
Naszym dalszym podmiotom przetwarzającym, które przetwarzają dane osobowe w naszym imieniu na podstawie postanowień o ochronie danych:
| Dostawca | Co robi i gdzie |
|---|---|
| Google Cloud (Google LLC) | Obsługuje nasze API, bazę danych, zarządzanie kluczami i dzienniki. Stany Zjednoczone (Iowa). |
| Amazon Rekognition (Amazon Web Services, Inc.) | Przeprowadza test żywotności twarzy i porównuje ją ze zdjęciem zapisanym w chipie paszportu, gdy sprawdzamy paszport, oraz podczas weryfikacji twarzy przy ladzie firmy. Stany Zjednoczone (Wirginia). |
| Firebase Hosting (Google LLC) | Udostępnia naszą stronę internetową i panel. Sieć globalna. |
| ZeptoMail (Zoho Corporation) | Wysyła linki do logowania i wiadomości e-mail dotyczące usługi. Stany Zjednoczone. |
| Dostawcy węzłów blockchain | Odczytują publiczne dane z blockchainów, abyśmy mogli weryfikować płatności. Wymienimy ich tutaj przed uruchomieniem płatności w stablecoinach. |
Udostępniamy również dane osobowe:
- organom władzy publicznej, takim jak Office of Financial Sanctions Implementation (brytyjski organ ds. sankcji finansowych), HMRC (brytyjska administracja skarbowa), policja lub sąd, gdy wymaga tego prawo;
- naszym doradcom zawodowym, takim jak księgowi i prawnicy, z zachowaniem poufności;
- każdemu, kto kupi lub przejmie nasze przedsiębiorstwo – podmiot taki musi przestrzegać niniejszej polityki.
Publiczne blockchainy. Gdy płacą Państwo stablecoinem, przelew jest zapisywany w danym blockchainie – publicznie i trwale, z samej natury blockchaina. Nie możemy go zmienić ani usunąć.
6. Przekazywanie danych poza Wielką Brytanię
Nasi dostawcy przetwarzają dane głównie w Stanach Zjednoczonych. Przekazujemy dane osobowe poza Wielką Brytanię wyłącznie na podstawie mechanizmu uznawanego przez brytyjskie prawo ochrony danych, takiego jak brytyjskie rozszerzenie ram ochrony danych UE–USA (UK Extension to the EU–US Data Privacy Framework), na podstawie którego Google posiada certyfikację, albo międzynarodowa umowa o przekazywaniu danych (International Data Transfer Agreement) lub brytyjski aneks do standardowych klauzul umownych UE (International Data Transfer Addendum).
7. Jak długo je przechowujemy
| Dane | Okres przechowywania |
|---|---|
| Dzienniki żądań serwera | 30 dni |
| Linki do logowania i sesje | 10 minut i 8 godzin albo do czasu ich użycia lub zakończenia |
| Dane konta i dziennik audytu | Przez czas, gdy konto jest otwarte, a następnie usuwane w ciągu 30 dni od jego zamknięcia, z wyjątkiem danych wymienionych poniżej |
| Wnioski, których nie zatwierdzamy | 12 miesięcy |
| Kontrole na listach sankcyjnych, faktury i dokumentacja płatności | 6 lat od zakończenia naszej współpracy, zgodnie z wymogami brytyjskich przepisów podatkowych dotyczących dokumentacji finansowej |
| Korespondencja e-mail z nami | 2 lata od naszej ostatniej wymiany wiadomości |
| Atrybuty poświadczeń (jako podmiot przetwarzający) | Przez czas, gdy konto klienta jest otwarte, a następnie usuwane w ciągu 30 dni od jego zamknięcia |
| Prezentacje i zweryfikowane atrybuty (jako podmiot przetwarzający) | 30 dni od zakończenia żądania |
| Zdarzenia webhook wysłane do klientów (jako podmiot przetwarzający) | 30 dni od ich wysłania |
| Kopie zapasowe bazy danych | 7 dni |
| Zapisy w publicznym blockchainie | Trwale i poza naszą kontrolą |
8. Państwa prawa
Mają Państwo prawo do uzyskania od nas kopii swoich danych osobowych, do ich sprostowania, do ich usunięcia, do ograniczenia ich wykorzystywania lub wniesienia sprzeciwu wobec ich wykorzystywania oraz do otrzymania ich w formacie umożliwiającym przeniesienie. Niektóre prawa zależą od podstawy prawnej, a dane, których przechowywania wymaga od nas prawo, możemy zachować.
Prosimy pisać na adres legal@vucredentials.com. Odpowiadamy w ciągu miesiąca i możemy najpierw poprosić o potwierdzenie tożsamości. Jeśli wniosek dotyczy poświadczenia, przekażemy go klientowi, który je wydał i który jest administratorem.
Mogą Państwo złożyć skargę do Information Commissioner’s Office – brytyjskiego organu nadzorczego ds. ochrony danych – za pośrednictwem strony ico.org.uk lub pod numerem telefonu +44 303 123 1113. Chcielibyśmy jednak najpierw mieć szansę naprawić sytuację.
9. Pliki cookie i pamięć przeglądarki
Nie używamy plików cookie, narzędzi analitycznych, reklam ani żadnych form śledzenia, a nasza strona internetowa nie wczytuje skryptów stron trzecich. Panel przechowuje w Państwa przeglądarce dwa elementy, oba ściśle niezbędne do logowania:
- token sesji w pamięci sesji (session storage), usuwany po zamknięciu karty;
- losowy identyfikator przeglądarki w pamięci lokalnej (local storage), który wiąże link do logowania z przeglądarką, w której o niego poproszono.
10. Zautomatyzowane podejmowanie decyzji
Nie podejmujemy wobec Państwa decyzji, które opierają się wyłącznie na zautomatyzowanym przetwarzaniu i wywołują wobec Państwa skutki prawne lub w podobny sposób istotnie na Państwa wpływają. Kontrola na listach sankcyjnych jest zautomatyzowana, ale trafienie jedynie wstrzymuje płatność lub rejestrację do czasu, aż sprawdzi je człowiek.
11. Bezpieczeństwo
- Szyfrowanie danych podczas przesyłania i przechowywania.
- Oddzielenie danych poszczególnych klientów wymuszane przez samą bazę danych, dzięki czemu każde żądanie może dotrzeć wyłącznie do rekordów własnego klienta.
- Klucze podpisujące przechowywane w usłudze zarządzania kluczami Google Cloud.
- Klucze API przechowywane wyłącznie jako jednokierunkowe skróty (hashe).
- Logowanie bez hasła za pomocą kluczy dostępu (passkeys) oraz potwierdzanie kluczem dostępu działań wrażliwych.
- Dziennik audytu czynności na kontach oraz dostęp ograniczony do osób, które go potrzebują.
12. Dzieci
Usługa jest przeznaczona dla firm i nie jest skierowana do osób poniżej 18. roku życia.
13. Zmiany niniejszej polityki
O istotnych zmianach poinformujemy użytkowników panelu e-mailem lub w panelu. Data u góry strony wskazuje, kiedy niniejsza polityka została ostatnio zmieniona.
14. Kontakt
- Prywatność: legal@vucredentials.com
- Wsparcie: support@vucredentials.com