Dokument obowiązujący

Polityka Prywatności

Jakie dane osobowe NEXMA przetwarza, na jakiej podstawie, jak długo i jakie prawa przysługują osobom, których dane dotyczą.

Wystawca: SYLWESTER SZAFERSKI
Numer wersji: 1.2
Data obowiązywania: od 3 czerwca 2026
Następny przegląd: w ciągu 12 miesięcy
Kontakt w sprawach RODO: privacy@nexma.app
Strona dokumentu: nexma.app/documents

Spis treści

Dla kogo jest ten dokument
Administrator i procesor
Jakie dane przetwarzamy
Cele i podstawy prawne
Okres przechowywania
Komu udostępniamy dane
Transfer danych poza EOG
Prawa osób, których dane dotyczą
Zautomatyzowane decyzje i profilowanie
Pliki cookie i logi techniczne
Bezpieczeństwo danych
Kontakt i skargi
Zmiany polityki

1.Dla kogo jest ten dokument

Polityka opisuje, jak NEXMA przetwarza dane osobowe w dwóch głównych sytuacjach:

Dane użytkowników korzystających z platformy NEXMA — czyli pracowników i współpracowników firm, które korzystają z naszej aplikacji. W stosunku do tych danych NEXMA działa jako procesor (podmiot przetwarzający) w imieniu pracodawcy jako administratora.
Dane osób, które kontaktują się z NEXMA bezpośrednio — np. poprzez formularz kontaktowy, email albo w związku z zakupem i obsługą subskrypcji. Tutaj NEXMA działa jako samodzielny administrator.

W obu przypadkach obowiązują zasady opisane poniżej. Tam, gdzie istnieją różnice, wskazujemy je wyraźnie.

2.Administrator i procesor

Wystawca niniejszej polityki:

SYLWESTER SZAFERSKI

NIP: 5213906939
REGON: 387026755
Adres działalności: Dalekie 61a, 07-211 Długosiodło
Kontakt: privacy@nexma.app

Zwracamy uwagę. Jeżeli jesteś pracownikiem firmy korzystającej z NEXMA i chcesz dowiedzieć się więcej o przetwarzaniu Twoich danych w ramach aplikacji, w pierwszej kolejności skontaktuj się z działem HR lub IT swojego pracodawcy — to on jest administratorem Twoich danych. NEXMA działa na zlecenie pracodawcy i może udzielić informacji za jego pośrednictwem.

3.Jakie dane przetwarzamy

3.1. Dane pracowników klienta (w roli procesora)

W ramach świadczenia usługi NEXMA może przetwarzać następujące kategorie danych pracowników klienta, które są synchronizowane z Microsoft 365 klienta lub wprowadzane w ramach korzystania z platformy:

dane identyfikacyjne: imię, nazwisko, adres e-mail służbowy, identyfikator użytkownika w Microsoft Entra ID (UPN, objectId), identyfikator tenantu;
dane organizacyjne: stanowisko, dział, przełożony, lokalizacja, numer telefonu służbowego (jeśli zapisane w M365);
dane dotyczące uprawnień: przynależność do grup Microsoft 365, grup Teams, skrzynek współdzielonych, witryn SharePoint;
dane urządzeń przypisanych do użytkownika: nazwa hosta, numer seryjny, identyfikator Intune, stan BitLockera, adres IP, stan zainstalowanego oprogramowania — w zakresie, w jakim klient korzysta z modułów zarządzania stacjami;
dane aktywności: logi logowań do platformy, historia wykonanych akcji administracyjnych, historia wniosków o dostęp i ich status, historia zgłoszeń helpdesk;
treść zgłoszeń i wniosków wprowadzana przez użytkowników w aplikacji (np. opis potrzebnego dostępu, wiadomość do managera, załączniki);
nagrania sesji zdalnego pulpitu i połączeń wsparcia zdalnego przeprowadzanych przez Nexma Connector, wraz z metadanymi (kto się połączył, kiedy, jak długo, na którą stację).

Zakres danych jest zależny od konfiguracji platformy po stronie klienta — klient decyduje, jakie moduły włącza i jakie dane z Microsoft 365 udostępnia NEXMA.

3.2. Dane osób kontaktujących się z NEXMA (w roli administratora)

Jeżeli kontaktujesz się z NEXMA poza zakresem korzystania z platformy, możemy przetwarzać:

dane kontaktowe: imię, nazwisko, adres e-mail, numer telefonu, nazwa firmy, stanowisko;
treść korespondencji i historia kontaktu;
dane rozliczeniowe — w zakresie niezbędnym do wystawiania faktur i obsługi płatności (nazwa podmiotu, adres, NIP, rachunek bankowy);
dane związane z użytkowaniem naszej strony internetowej nexma.app (patrz rozdział 10).

4.Cele i podstawy prawne

Cel	Kogo dotyczy	Podstawa prawna (RODO)
Realizacja usługi NEXMA na zlecenie klienta (samoobsługa pracowników, wnioski o dostęp, zarządzanie stacjami).	Pracownicy i współpracownicy klienta.	Art. 28 RODO w zw. z art. 6 ust. 1 lit. b lub f RODO po stronie administratora (klienta).
Zawarcie i wykonanie umowy z klientem, obsługa subskrypcji, wystawianie faktur.	Osoby kontaktowe po stronie klienta.	Art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. c RODO (obowiązki podatkowo-księgowe).
Obsługa zapytań kierowanych do NEXMA (formularz kontaktowy, e-mail).	Osoby kontaktujące się z NEXMA.	Art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes polegający na obsłudze korespondencji.
Zapewnienie bezpieczeństwa aplikacji, reagowanie na incydenty, obrona przed nadużyciami.	Wszyscy użytkownicy platformy.	Art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes NEXMA i klienta.
Marketing bezpośredni (newsletter, informacje o aktualizacjach produktu) — wyłącznie po wyrażeniu zgody.	Osoby, które wyraziły zgodę.	Art. 6 ust. 1 lit. a RODO (zgoda), którą można wycofać w każdej chwili.

5.Okres przechowywania

Dane pracowników klienta przetwarzane w roli procesora — przez czas obowiązywania umowy z klientem. Po jej wygaśnięciu dane są usuwane w terminie opisanym w Polityce Bezpieczeństwa (do 30 dni z bazy produkcyjnej, do 90 dni z kopii zapasowych w ramach normalnej rotacji), chyba że klient zażąda wcześniejszego usunięcia lub zwrotu zgodnie z umową powierzenia.
Dane osób kontaktujących się z NEXMA — przez czas niezbędny do obsługi sprawy oraz dodatkowo przez okres przedawnienia ewentualnych roszczeń.
Dane rozliczeniowe i księgowe — przez okres wymagany przepisami prawa (typowo 5 lat od końca roku obrotowego, w którym wystawiono dokument).
Logi bezpieczeństwa — do 12 miesięcy, chyba że są zaangażowane w postępowanie wyjaśniające incydent — w takim przypadku do zakończenia postępowania.
Dane przetwarzane na podstawie zgody — do czasu wycofania zgody.

6.Komu udostępniamy dane

Dane osobowe powierzamy wyłącznie podmiotom, które zapewniają odpowiedni poziom ochrony i są związane odpowiednimi umowami. Aktualna lista naszych podprzetwarzających:

Podmiot	Rola	Lokalizacja
Microsoft Ireland Operations Ltd.	Dostawca Microsoft 365, Microsoft Entra ID, Graph API — źródło danych pracowników klienta.	Irlandia (EOG); data residency zależna od tenantu klienta.
OVH Groupe SAS (OVHcloud)	Hosting aplikacji i bazy danych NEXMA (region eu-central-waw, strefa eu-central-waw-a).	Warszawa, Polska (EOG).
Wasabi Technologies, Inc.	Przechowywanie szyfrowanych kopii zapasowych bazy danych i środowiska platformy (Wasabi Hot Cloud Storage, region eu-central-2).	Frankfurt, Niemcy (EOG); dane nie opuszczają EOG.
Stripe Payments Europe Ltd.	Operator płatności kartowych i rozliczeń cyklicznych (Stripe Billing); rozliczenia w EUR netto; VAT przez Stripe Tax według danych nabywcy.	Irlandia (EOG); możliwe transfery do USA — patrz rozdział 7.
Functional Software, Inc. d/b/a Sentry	Monitoring błędów aplikacji (usługa Sentry, region EU). Otrzymuje wyłącznie zminimalizowane dane techniczne błędu — bez adresu IP użytkownika i bez identyfikatorów osobowych, po automatycznym filtrowaniu sekretów (zob. rozdział 10 oraz Polityka Bezpieczeństwa Informacji).	Frankfurt, Niemcy (region EU; dane nie opuszczają EOG).

Dodatkowo dane mogą być udostępnione uprawnionym organom państwowym na ich żądanie, w zakresie i w formie przewidzianej prawem.

7.Transfer danych poza EOG

Podstawowe środowisko NEXMA znajduje się w Polsce, czyli w granicach Europejskiego Obszaru Gospodarczego (EOG). Usługa monitoringu błędów Sentry jest wykorzystywana w wariancie z regionem EU (centrum danych we Frankfurcie, Niemcy) — dane diagnostyczne nie opuszczają EOG. Jeżeli w toku świadczenia usługi nastąpi transfer danych poza EOG (np. w ramach korzystania z usług Microsoft lub Stripe), następuje on wyłącznie w oparciu o mechanizmy zapewniające odpowiedni poziom ochrony w rozumieniu art. 46 RODO, w szczególności:

decyzje Komisji Europejskiej o adekwatności poziomu ochrony danych (tam, gdzie mają zastosowanie);
Standardowe Klauzule Umowne (Standard Contractual Clauses) zatwierdzone przez Komisję Europejską;
dodatkowe środki zabezpieczające po stronie dostawcy (np. szyfrowanie, pseudonimizacja).

8.Prawa osób, których dane dotyczą

Zgodnie z RODO masz prawo:

do dostępu — uzyskania informacji, czy i jakie Twoje dane przetwarzamy;
do sprostowania — żądania poprawy danych nieprawidłowych lub niekompletnych;
do usunięcia (bycia zapomnianym) — w przypadkach przewidzianych w art. 17 RODO;
do ograniczenia przetwarzania — w przypadkach z art. 18 RODO;
do sprzeciwu — wobec przetwarzania na podstawie prawnie uzasadnionego interesu;
do przenoszenia danych — otrzymania swoich danych w formacie nadającym się do maszynowego odczytu;
do wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.

Aby skorzystać z któregokolwiek z tych praw, napisz na privacy@nexma.app. Jeżeli Twoje dane przetwarzamy na zlecenie pracodawcy (jako procesor), przekażemy Twoje żądanie do administratora danych (pracodawcy) — poinformujemy Cię o tym fakcie.

Masz również prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa), jeżeli uważasz, że przetwarzanie Twoich danych osobowych narusza przepisy RODO.

9.Zautomatyzowane decyzje i profilowanie

NEXMA nie podejmuje wobec Ciebie zautomatyzowanych decyzji, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały. Platforma wspiera procesy decyzyjne (np. wnioski o dostęp), ale faktyczna decyzja o przyznaniu lub odmowie dostępu zawsze podejmowana jest przez człowieka wskazanego przez administratora (przełożonego, administratora systemu, managera HR).

10.Pliki cookie i logi techniczne

Strona nexma.app oraz panel aplikacji mogą używać plików cookie oraz podobnych technologii w ograniczonym zakresie:

Cookies techniczne i sesyjne — niezbędne do działania zalogowanej sesji. Bez nich aplikacja nie działa — nie wymagają zgody.
Cookies preferencji — zapamiętanie języka, motywu jasny/ciemny. Można je wyłączyć w ustawieniach przeglądarki.
Logi techniczne serwera — adres IP, nagłówek user-agent, znacznik czasu żądania; zbierane w celu zapewnienia bezpieczeństwa i analizy problemów. Przechowywane przez okres opisany w rozdziale 5.
Monitoring błędów aplikacji (Sentry) — w razie wystąpienia błędu aplikacji do usługi Sentry (region EU, Frankfurt) wysyłany jest minimalny zestaw danych technicznych: rodzaj wyjątku, ślad stosu, identyfikator wersji oprogramowania, znacznik czasu, adres URL trasy aplikacji oraz nagłówek user-agent przeglądarki. Adres IP użytkownika nie jest przekazywany (opcja sendDefaultPii jest wyłączona). Nagłówki autoryzacyjne (m.in. Authorization, Cookie) oraz parametry sekretów w adresach URL są maskowane przed wysyłką po stronie aplikacji NEXMA. Funkcjonalność „Session Replay" (nagrywanie sesji przeglądarki) nie jest włączona. Dane nie opuszczają EOG.

NEXMA nie używa obecnie cookies marketingowych ani trackerów stron trzecich. Jeżeli to się zmieni, zaktualizujemy niniejszą politykę oraz wprowadzimy mechanizm zgody (cookie banner).

11.Bezpieczeństwo danych

Środki techniczne i organizacyjne stosowane przez NEXMA w celu ochrony danych osobowych opisane są szczegółowo w Polityce Bezpieczeństwa Informacji dostępnej pod adresem nexma.app/documents. Obejmują one m.in. szyfrowanie danych w transporcie i w spoczynku, kontrolę dostępu opartą o role, obowiązkowe uwierzytelnianie wieloskładnikowe personelu NEXMA, logowanie zdarzeń istotnych dla bezpieczeństwa oraz procedury reagowania na incydenty.

12.Kontakt i skargi

Pytania i żądania związane z niniejszą polityką lub przetwarzaniem danych osobowych prosimy kierować na adres:

privacy@nexma.app

Odpowiadamy w terminie wskazanym w RODO — bez zbędnej zwłoki, nie później niż w ciągu 30 dni od otrzymania żądania (z możliwością przedłużenia o kolejne 60 dni w przypadku skomplikowanych spraw).

13.Zmiany polityki

Niniejsza polityka może ulec zmianie w związku ze zmianami prawa, zakresu usługi lub listy podprzetwarzających. Każda wersja jest datowana i dostępna pod adresem nexma.app/documents. Istotne zmiany będą komunikowane bezpośrednio klientom za pośrednictwem poczty elektronicznej.

Niniejszy dokument został przygotowany przez SYLWESTER SZAFERSKI i wchodzi w życie z dniem publikacji pod adresem nexma.app/documents. W przypadku rozbieżności między treścią Polityki Prywatności a zawartą z klientem umową powierzenia (DPA) w zakresie przetwarzania danych pracowników klienta — pierwszeństwo mają postanowienia DPA.