Administratorem danych osobowych jest CHEMAXA Adrian Matusiak z siedzibą przy ul. Promiennej 14, 71-218 Bezrzecze, NIP 8512981442 (dalej: „CHEMAXA”, „my”).
Kontakt w sprawach ochrony danych osobowych:
Dane osobowe przetwarzamy zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”) oraz polskimi przepisami o ochronie danych osobowych i świadczeniu usług drogą elektroniczną. Stosujemy zasadę minimalizacji — zbieramy tylko te dane, które są niezbędne do wskazanych niżej celów.
Niniejsza polityka opisuje przetwarzanie danych osobowych:
Gdy kontaktujesz się z nami (w tym wysyłając zapytanie o wycenę lub zamówienie — również z Aplikacji), przetwarzamy dane podane w korespondencji: imię i nazwisko, nazwę firmy, NIP, adres dostawy, numer telefonu, adres e-mail oraz treść wiadomości.
| Cel | Podstawa prawna (RODO) |
|---|---|
| obsługa zapytania, przygotowanie wyceny, przyjęcie i realizacja zamówienia (działania przed zawarciem umowy i wykonanie umowy) | art. 6 ust. 1 lit. b |
| weryfikacja kontrahenta (w tym w publicznych rejestrach), wystawianie faktur, obowiązki podatkowe i rachunkowe | art. 6 ust. 1 lit. c |
| bieżąca komunikacja biznesowa, ustalenie, dochodzenie lub obrona roszczeń, zapewnienie bezpieczeństwa systemów (prawnie uzasadniony interes) | art. 6 ust. 1 lit. f |
| marketing bezpośredni własnych produktów i usług, w tym przesyłanie informacji handlowych — o ile wyrazisz na to odrębną zgodę | art. 6 ust. 1 lit. a / lit. f |
| ocena skuteczności reklam Google (które hasła i urządzenia przynoszą zapytania i klientów) — prawnie uzasadniony interes | art. 6 ust. 1 lit. f |
Gdy zapytanie o wycenę wysyłasz ze strony, na którą trafiłeś z reklamy Google, razem z zapytaniem zapisujemy informację o tej reklamie: hasło, które ją wyświetliło, rodzaj dopasowania hasła, typ urządzenia (telefon, tablet albo komputer) oraz numery grupy reklam i reklamy. Służy to wyłącznie ocenie, które reklamy przynoszą zapytania i klientów, i ustawianiu stawek reklam. Nie zapisujemy identyfikatora kliknięcia i nie przekazujemy tych informacji Google. Przechowujemy je razem z zapytaniem oraz w wiadomości e-mail z powiadomieniem o nim — przez okresy podane w pkt 8 dla zapytań i korespondencji.
Podanie danych jest dobrowolne, ale niezbędne do otrzymania wyceny lub realizacji zamówienia.
Zgoda na kontakt SMS-em i e-mailem — Prawo komunikacji elektronicznej. Poza RODO wysyłkę wiadomości na Twój numer telefonu i adres e-mail reguluje ustawa z 12 lipca 2024 r. — Prawo komunikacji elektronicznej (obowiązuje od 10 listopada 2024 r.; zastąpiła Prawo telekomunikacyjne). Zgodnie z jej art. 398 przesyłanie informacji handlowej i marketingu bezpośredniego wymaga Twojej uprzedniej zgody. Dlatego rozdzielamy dwa rodzaje wiadomości:
Zgodę możesz wycofać w każdej chwili — wystarczy wiadomość na info@chemaxa.com albo odpowiedź na otrzymaną wiadomość. Wycofanie nie wpływa na zgodność z prawem wysyłek sprzed wycofania i nie wstrzymuje wiadomości dotyczących zamówień, których jesteś stroną.
Projekt odpowiedzi z pomocą sztucznej inteligencji. Odpowiedź na zapytanie o wycenę albo zamówienie możemy przygotować z pomocą modelu sztucznej inteligencji Claude (dostawca: Anthropic). Dzieje się to wyłącznie wtedy, gdy upoważniona osoba z CHEMAXA kliknie przycisk przy konkretnym zapytaniu — nigdy samoczynnie. Dostawca otrzymuje wtedy treść uwag wpisanych w zapytaniu — z numerami telefonów, adresami e-mail, numerami NIP i numerami rachunków bankowych usuniętymi przed wysłaniem — oraz ilość i miejscowość dostawy (bez ulicy i kodu pocztowego) i rodzaj zapytania (wycena albo zamówienie). Nazwy firmy ani imienia i nazwiska podanych w zapytaniu albo zapisanych przy koncie firmy w naszym panelu mu nie przekazujemy; jeżeli jednak wpiszesz w uwagach inne dane o sobie albo o innych osobach, trafią do dostawcy razem z ich treścią. Model przygotowuje wyłącznie szkic: czyta go, poprawia i wysyła upoważniona osoba z CHEMAXA, a model niczego nie wysyła sam. Szkicu nie przechowujemy — w panelu zostaje tylko odpowiedź, którą ta osoba wyśle (jak korespondencja), oraz zapis techniczny bez treści (data i zużycie usługi), potrzebny do rozliczenia jej kosztu. Podstawą jest art. 6 ust. 1 lit. b RODO (odpowiedź na Twoje zapytanie przed zawarciem umowy) oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: rzeczowa i szybka odpowiedź na zapytanie). Odbiorcę danych, przekazanie poza EOG i okres przechowywania opisują pkt 6, 7 i 8.
Korespondencja wklejona do panelu. Wiadomość e-mail od klienta albo kontrahenta upoważniona osoba z CHEMAXA może wkleić do naszego panelu administracyjnego, żeby zapisać ją jako notatkę przy koncie firmy albo — gdy dotyczy terminu dostawy — krótką notatkę przy zamówieniu. Na jej polecenie, nigdy samoczynnie, treść tej wiadomości może zostać przekazana do modelu sztucznej inteligencji Claude (dostawca: Anthropic), żeby przygotować krótkie streszczenie i odczytać z niej daty (np. proponowany termin dostawy). Przed wysłaniem usuwamy z treści cytowaną wcześniejszą korespondencję, numery telefonów, numery rachunków bankowych i numery NIP; razem z treścią przekazujemy datę wiadomości, żeby określenia w rodzaju „w przyszły czwartek” dało się zamienić na datę. Pozostała treść — także podpis nadawcy z imieniem i nazwiskiem, jeżeli go zawiera — trafia do dostawcy w takiej postaci, w jakiej ją napisano. Streszczenie i odczytane daty sprawdza człowiek; w panelu zapisujemy wyłącznie zatwierdzoną przez niego notatkę, a wyniku modelu nie przechowujemy (zostaje tylko zapis techniczny bez treści, jak przy projekcie odpowiedzi). Podstawą jest art. 6 ust. 1 lit. b RODO (realizacja zamówienia, w tym uzgodnienie terminu dostawy) oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: rzetelna pamięć ustaleń z korespondencji). Odbiorcę danych, przekazanie poza EOG i okres przechowywania opisują pkt 6, 7 i 8.
Za Twoją zgodą możemy przekazać do Krajowego Rejestru Długów Biura Informacji Gospodarczej S.A. (ul. Danuty Siedzikówny 12, 51-214 Wrocław, KRS 0000169851) informację pozytywną — czyli potwierdzenie, że zapłaciłeś nam w terminie.
Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda) w związku z art. 18 ustawy z 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych. Bez Twojej zgody nie przekazujemy o Tobie do KRD niczego — chyba że sam złożysz wniosek o taki wpis, co ustawa traktuje równorzędnie ze zgodą.
Co przekazujemy: nazwę firmy, adres, NIP, a dla każdego zobowiązania — kwotę, walutę, termin płatności i datę zapłaty. Nie przekazujemy Twojego numeru telefonu ani adresu e-mail.
Po co: wpis pozytywny buduje udokumentowaną historię płatniczą Twojej firmy, widoczną dla kontrahentów, banków i leasingodawców, którzy sprawdzają ją w rejestrze.
Jak wyrazić i jak wycofać zgodę — każdą z tych dróg, do wyboru:
Wycofanie zgody jest równie łatwe jak jej udzielenie (art. 7 ust. 3 RODO) i działa na przyszłość: od chwili wycofania nie przekazujemy do KRD nic nowego. ⚠️ Wycofanie nie usuwa wpisów już przekazanych — te pozostają w rejestrze na zasadach określonych w ustawie i w regulaminie KRD. O usunięcie wpisu, który już tam jest, możesz nas poprosić osobno; wystąpimy o nie do KRD.
Dziennik zgód. Aby móc wykazać zgodę, jak wymaga tego art. 7 ust. 1 RODO, prowadzimy jej zapis. Notujemy przy każdym udzieleniu i każdym wycofaniu zgody — zarówno tej na wpis do KRD, jak i tej na wiadomości SMS:
Adres IP jest daną osobową i podlega tej polityce. Zapisujemy go wyłącznie po to, żeby zapis zgody miał wartość dowodową, i nie używamy go do niczego innego — nie budujemy z niego profilu, nie ustalamy na jego podstawie lokalizacji i nie łączymy go z danymi technicznymi Serwisu z pkt 3.4.
Pusta kratka przy zakładaniu konta. Jeżeli zakładając konto w Aplikacji zostawisz kratkę zgody pustą, zapisujemy w dzienniku datę i oznaczenie treści klauzuli, którą Ci pokazaliśmy — po to, żeby profil w Aplikacji nie twierdził, że nigdy o tę zgodę nie pytaliśmy. Taki zapis nie jest ani zgodą, ani odmową, nie zawiera adresu IP i usuwamy go razem z kontem. Podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: rzetelny zapis tego, o co Cię pytaliśmy).
⚠️ Dziennik zgód przechowujemy dłużej niż samo konto. Jeżeli usuniesz konto, a wcześniej przekazaliśmy za Twoją zgodą wpis pozytywny do KRD, wpis ten pozostaje w rejestrze — a wraz z nim musi zostać dowód, że zgoda była. Usunięcie dziennika zostawiłoby w KRD wpis bez pokrycia. Podstawa: art. 17 ust. 3 lit. b RODO (obowiązek prawny) oraz art. 17 ust. 3 lit. e RODO (ustalenie, dochodzenie i obrona roszczeń). Zostaje wyłącznie zapis zgody na wpis do KRD (wraz z jej ewentualnym wycofaniem). Zapis zgody na wiadomości SMS oraz zapis zgody na wpis do KRD, po której NIE poszedł żaden wpis do KRD, usuwamy razem z kontem.
Kontakt zanotowany w trakcie rozmowy (potencjalni klienci). Jeżeli rozmawiamy o dostawach AdBlue® telefonicznie — bo dzwonisz do nas albo odpowiadasz na nasz kontakt — zapisujemy w panelu administracyjnym notatkę z tej rozmowy: nazwę firmy, NIP, numer telefonu, adres e-mail, kod pocztowy miejsca dostawy, obecnego dostawcę i cenę, po której dziś kupujesz, interesujący Cię litraż oraz omówiony poziom cenowy, a także krótką notatkę o tym, czego potrzebujesz. Dane te pochodzą wyłącznie od Ciebie — nie kupujemy list kontaktów ani nie pobieramy ich z zewnętrznych baz. Podstawą jest art. 6 ust. 1 lit. b RODO (działania podejmowane na Twoje żądanie przed zawarciem umowy) oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: pamięć o poczynionych ustaleniach i przygotowanie oferty).
Cykliczna aktualizacja oferty cenowej. Cena AdBlue® zmienia się w czasie, a oferta jest ważna przez określony okres. Osobom i firmom, z którymi rozmawialiśmy o dostawach — zarówno stałym kontrahentom, jak i osobom, których kontakt zanotowaliśmy w trakcie rozmowy — wysyłamy na podany adres e-mail aktualizację oferty: poziom cenowy dla poszczególnych przedziałów ilościowych oraz okres, w którym ta oferta obowiązuje. Podstawą jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: marketing bezpośredni własnych produktów, prowadzony wobec przedsiębiorców, z którymi pozostajemy w kontakcie handlowym), a w zakresie, w jakim przepisy o świadczeniu usług drogą elektroniczną wymagają zgody na przesyłanie informacji handlowej — na podstawie zgody wyrażonej przez podanie nam adresu e-mail w celu otrzymania oferty (art. 6 ust. 1 lit. a RODO).
W każdej chwili możesz się temu sprzeciwić — wystarczy odpisać na dowolną naszą wiadomość albo napisać na info@chemaxa.com. Sprzeciw jest skuteczny od razu i nie wymaga uzasadnienia; po jego zgłoszeniu przestajemy wysyłać aktualizacje oferty, a jeśli sobie tego życzysz — usuwamy notatkę z rozmowy w całości. Wysyłka aktualizacji oferty nie jest decyzją zautomatyzowaną ani profilowaniem (pkt 10): treść i poziom cenowy ustala człowiek na podstawie wcześniejszej rozmowy, a wysyłkę uruchamia ręcznie.
W związku z zawieraniem i wykonywaniem umów przetwarzamy dane osób reprezentujących kontrahentów oraz osób kontaktowych: imię i nazwisko, stanowisko, służbowy adres e-mail i numer telefonu, a także dane firmowe (nazwa, NIP, adres). Podstawą jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) polegający na utrzymywaniu kontaktów biznesowych oraz — w zakresie danych stron umowy — art. 6 ust. 1 lit. b i c RODO.
Po zrealizowanej dostawie możemy zwrócić się do Ciebie e-mailem z prośbą o opinię o współpracy w naszej wizytówce w serwisie Rzetelna Firma. Wystawienie opinii jest całkowicie dobrowolne i odbywa się na stronie tego serwisu, według jego własnej polityki prywatności — my nie otrzymujemy z tego tytułu żadnych dodatkowych danych. Na Twoim koncie zapisujemy jedynie datę wysłania takiej prośby, żeby nie prosić o to samo wielokrotnie. Podstawą jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: budowanie wiarygodności firmy). Możesz w każdej chwili wnieść sprzeciw — wystarczy odpisać na wiadomość.
Na koncie kontrahenta zapisujemy w naszym panelu administracyjnym dane osób kontaktowych po jego stronie: imię i nazwisko, rolę (np. właściciel, kierowca, księgowość, logistyka), służbowy numer telefonu, służbowy adres e-mail oraz krótką notatkę ułatwiającą kontakt (np. godziny, o których najlepiej dzwonić). Dane te podaje nam sam kontrahent — nie pozyskujemy ich z innych źródeł. Służą wyłącznie umówieniu i zrealizowaniu dostawy oraz bieżącemu kontaktowi handlowemu. Podstawą jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: utrzymanie kontaktu z kontrahentem).
Odnotowujemy również historię kontaktu handlowego: datę i rodzaj rozmowy (telefon, e-mail, SMS, WhatsApp, spotkanie), krótką notatkę z jej przebiegu, ewentualny termin przypomnienia o kolejnym kontakcie oraz osobę z CHEMAXA, która notatkę sporządziła. Zapisy te są wyłącznie wewnętrzne — widzi je tylko upoważniony personel CHEMAXA. Podstawą jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: obsługa kontrahenta i pamięć o poczynionych ustaleniach).
Ocena wiarygodności płatniczej. Zanim zaproponujemy kontrahentowi płatność z odroczonym terminem (kredyt kupiecki), sprawdzamy jego wiarygodność płatniczą. Pobieramy w tym celu raport gospodarczy z Krajowego Rejestru Długów Biura Informacji Gospodarczej S.A. (KRD BIG S.A.) i przechowujemy go — plik raportu wraz z kopią odczytu: oceną, datą i numerem raportu oraz sugerowanym limitem kupieckim. Te dwie rzeczy mają różne okresy przechowywania i pkt 8 opisuje je osobno: archiwalny raport (plik i przypisana do niego kopia odczytu) usuwamy po 24 miesiącach, natomiast bieżąca ocena wiarygodności zapisana na karcie kontrahenta zostaje tak długo, jak trwa współpraca — to na niej opieramy decyzję o odroczonej płatności przy każdym kolejnym zamówieniu, a widoczna przy niej data odczytu pokazuje, kiedy ocena się zestarzała i warto ją odświeżyć. Prowadzimy też własną, wewnętrzną ocenę terminowości płatności kontrahenta i zapisujemy uzgodnione warunki handlowe (termin płatności, limit kredytu, obecny dostawca i jego cena, status oraz źródło pozyskania kontaktu). Podstawą jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: ocena ryzyka handlowego przed udzieleniem odroczonej płatności i ochrona przed stratą finansową).
Gdy kontrahent prowadzi jednoosobową działalność gospodarczą, dane te dotyczą osoby fizycznej i w pełni podlegają tej polityce — przysługuje wtedy prawo dostępu do nich, sprostowania, usunięcia oraz sprzeciwu wobec przetwarzania (pkt 9). Ocena wiarygodności nie jest decyzją zautomatyzowaną: o warunkach współpracy decyduje człowiek (pkt 10). Dane opisane w trzech powyższych akapitach przetwarzamy wyłącznie w panelu administracyjnym CHEMAXA — nie są widoczne w Aplikacji i nie wchodzą do kopii danych, którą można samodzielnie pobrać z konta w Aplikacji. Nie ogranicza to prawa dostępu: na wniosek wysłany na info@chemaxa.com wydamy również te dane.
Dodatkowe adresy e-mail. Na prośbę kontrahenta zapisujemy na jego koncie w panelu administracyjnym także dodatkowe służbowe adresy e-mail osób, które po jego stronie obsługują zamówienia. Wysyłamy na nie wiadomości, które wysyłamy na e-mail kontaktowy — m.in. potwierdzenia zamówień i terminów dostaw, przypomnienia i wezwania do zapłaty, informacje o ofercie i cenach, zaproszenie do Aplikacji i prośbę o opinię. Nie wysyłamy na nie faktur ani wiadomości dotyczących zgody na wpis do Krajowego Rejestru Długów. Dodatkowe adresy nie służą do logowania. Podaje nam je kontrahent; adres usuwamy na jego prośbę albo na prośbę osoby, której dotyczy — także wtedy, gdy nie chce ona otrzymywać informacji o ofercie (info@chemaxa.com). W dzienniku wysłanych wiadomości zostaje ślad wysyłek sprzed usunięcia. Podstawą jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: kontakt z osobami realizującymi zamówienia po stronie kontrahenta). Adresy te wchodzą do kopii danych, którą można pobrać z konta w Aplikacji.
Przewoźnicy. Przy zleceniu transportu zapisujemy dane przewoźnika — nazwę, adres i kraj, także gdy przewoźnik prowadzi jednoosobową działalność gospodarczą — i umieszczamy je w zleceniu transportowym. Podstawą jest art. 6 ust. 1 lit. b RODO (zawarcie i wykonanie umowy przewozu), a w zakresie prowadzenia listy przewoźników — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: organizacja dostaw). Dane przechowujemy przez czas współpracy, a w dokumentach przewozu — przez okresy z pkt 8.
Odczyt faktur z pomocą sztucznej inteligencji. Faktury zakupu i sprzedaży, a także faktury przewoźników za transport, możemy odczytać w naszym panelu administracyjnym z pomocą modelu sztucznej inteligencji Claude (dostawca: Anthropic). Tak samo możemy odczytać faktury kosztowe i paragony (np. za paliwo, telefon, usługi), również wystawione przez osoby prowadzące jednoosobową działalność gospodarczą. Dzieje się to wyłącznie wtedy, gdy upoważniona osoba z CHEMAXA kliknie przycisk odczytu przy konkretnej fakturze — nigdy samoczynnie. Dostawca otrzymuje wtedy plik faktury z danymi, które na niej widnieją: nazwy, numery NIP i adresy sprzedawcy i nabywcy (a także odbiorcy dostawy i miejsca dostawy, jeśli są na fakturze), numery dokumentów, ilości, ceny i kwoty, imię i nazwisko osoby wystawiającej fakturę, jeśli je na niej podano, a na fakturze przewoźnika — także numer rejestracyjny pojazdu, jeśli przewoźnik go na niej podał. Na fakturze kosztowej i paragonie mogą to być także imię i nazwisko sprzedawcy prowadzącego jednoosobową działalność, numer jego rachunku bankowego i oznaczenie kasjera, jeśli je wydrukowano. Odczytane wartości ta osoba sprawdza i dopiero po ich zatwierdzeniu zapisuje przy zamówieniu — model niczego nie rozstrzyga; wartości z faktury kosztowej i paragonu zapisuje w ten sam sposób przy kosztach firmy. Wynik odczytu przechowujemy w panelu, żeby ten sam plik nie był wysyłany ponownie. Podstawą jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: sprawne i bezbłędne przepisywanie danych z faktur), a dla zapisu kosztu w ewidencji — art. 6 ust. 1 lit. c RODO (obowiązki podatkowe i rachunkowe). Odbiorcę danych, przekazanie poza EOG i okres przechowywania opisują pkt 6, 7 i 8.
Od kandydatów do pracy przetwarzamy dane wskazane w przepisach prawa pracy (imię i nazwisko, data urodzenia, dane kontaktowe, wykształcenie, kwalifikacje, przebieg dotychczasowego zatrudnienia) — na podstawie art. 6 ust. 1 lit. b i c RODO. Dodatkowe dane zawarte w CV (np. wizerunek, zainteresowania) przetwarzamy na podstawie zgody (art. 6 ust. 1 lit. a RODO), a dane szczególnych kategorii (np. informacja o niepełnosprawności) — wyłącznie na podstawie wyraźnej zgody (art. 9 ust. 2 lit. a RODO). Zgodę można wycofać w każdym momencie.
Podczas korzystania z Serwisu automatycznie przetwarzane są dane techniczne: adres IP, data i godzina żądania, rodzaj przeglądarki i systemu, odwiedzane podstrony. Dane te służą zapewnieniu prawidłowego działania i bezpieczeństwa Serwisu (art. 6 ust. 1 lit. f RODO) oraz — za zgodą — celom statystyczno-marketingowym opisanym w pkt 5.
Aplikacja służy do zamawiania dostaw płynu AdBlue® luzem oraz do wysyłania zapytań o wycenę. Jest narzędziem komunikacji biznesowej (B2B) i nie jest skierowana do osób poniżej 16. roku życia. Aplikacja działa w dwóch trybach: (1) bez logowania — formularz zapytania/zamówienia dla nowych klientów; (2) po zalogowaniu — konto stałego klienta z indywidualnym cennikiem, punktami rozładunku i historią zamówień.
Do części funkcji Aplikacja korzysta z serwera CHEMAXA (api.chemaxa.com), na którym — jako administrator — przetwarzamy dane opisane niżej. Nie udostępniamy tych danych podmiotom trzecim w celach marketingowych.
Wersje na iOS i Android realizują te same funkcje i korzystają z tego samego serwera. Różnice wynikają z platformy: usługa „Zaloguj się z Apple”, podpowiedzi adresów (Apple Maps, pkt 4.6) oraz raporty o awariach (MetricKit, pkt 4.9) występują wyłącznie w wersji na iOS. W wersji na Android logowanie odbywa się e-mailem i hasłem, a powiadomienia push dostarcza Firebase Cloud Messaging (Google) — patrz pkt 4.4.
Dane wpisane w formularzu (NIP, nazwa firmy, adres dostawy, telefon, e-mail, parametry zamówienia) są zapamiętywane także lokalnie na Twoim urządzeniu, abyś nie musiał wpisywać ich ponownie. Możesz je usunąć, nadpisując pola lub odinstalowując Aplikację. Dane lokalne chronią mechanizmy zabezpieczeń systemu operacyjnego — Keychain na iOS oraz zaszyfrowany magazyn ustawień (EncryptedSharedPreferences) na Androidzie; w wersji na Android kopia zapasowa danych Aplikacji jest wyłączona.
Gdy wypełnisz formularz i klikniesz „Wyślij zapytanie o wycenę” lub „Wyślij zamówienie”, dane z formularza (nazwa firmy, NIP, adres/miejsce dostawy, telefon, e-mail, orientacyjna ilość, termin i godziny rozładunku) są zapisywane na naszym serwerze jako zapytanie — abyśmy mogli przygotować wycenę i skontaktować się z Tobą. Zapis następuje w momencie kliknięcia przycisku, również wtedy, gdy ostatecznie nie dokończysz wysyłki wiadomości przez WhatsApp, e-mail czy SMS (nie chcemy utracić kontaktu do osób zainteresowanych ofertą). Zapisujemy również ograniczone dane techniczne (adres IP, informacje o urządzeniu/aplikacji) w celu zapewnienia bezpieczeństwa i ograniczenia nadużyć. Niezależnie od tego, jeśli wybierzesz kanał (WhatsApp, e-mail lub SMS), treść wiadomości trafia do wybranej przez Ciebie aplikacji, a jej wysłanie wymaga Twojego potwierdzenia.
| Cel | Podstawa prawna (RODO) |
|---|---|
| obsługa zapytania, przygotowanie wyceny i kontakt zwrotny; działania przed zawarciem umowy | art. 6 ust. 1 lit. b oraz lit. f (prawnie uzasadniony interes: odpowiedź na zapytanie i utrzymanie kontaktu z zainteresowanym) |
| bezpieczeństwo systemu i zapobieganie nadużyciom (dane techniczne) | art. 6 ust. 1 lit. f |
Podanie danych jest dobrowolne, ale bez danych kontaktowych nie odeślemy wyceny. Zapytania usuwamy automatycznie po upływie okresu retencji (pkt 8) oraz na Twoje żądanie.
Ilość i miejscowość dostawy (bez ulicy i kodu pocztowego) z takiego zapytania upoważniona osoba z CHEMAXA może wykorzystać do przygotowania projektu odpowiedzi z pomocą sztucznej inteligencji — bez nazwy firmy, NIP-u, numeru telefonu i adresu e-mail; zasady opisuje pkt 3.1 („Projekt odpowiedzi z pomocą sztucznej inteligencji”).
Logowanie odbywa się na dwa sposoby, które można łączyć na tym samym koncie:
…@privaterelay.appleid.com), a przy pierwszym logowaniu — imię i nazwisko, o ile je udostępnisz. Logowanie Apple nie przekazuje nam Twojego hasła.Obie metody możesz mieć podpięte jednocześnie do tego samego konta (np. dodać hasło do konta założonego przez Apple w ekranie „Mój profil”) i wybrać, której użyć przy kolejnym logowaniu.
W ramach konta przetwarzamy na naszym serwerze: dane firmy (nazwa, NIP, telefon, adres, e-mail kontaktowy, e-mail do faktury, dodatkowe adresy e-mail osób obsługujących zamówienia — pkt 3.2 „Kontrahenci i ich przedstawiciele”), Twój indywidualny cennik, zapisane punkty rozładunku (adres, osoba kontaktowa, telefon, godziny, uwagi) oraz szczegóły i historię zamówień.
| Cel | Podstawa prawna (RODO) |
|---|---|
| prowadzenie konta, prezentacja indywidualnego cennika, przyjmowanie i realizacja zamówień | art. 6 ust. 1 lit. b |
| wystawianie faktur, obowiązki podatkowe i rachunkowe | art. 6 ust. 1 lit. c |
| obsługa i kontakt, ustalenie/dochodzenie/obrona roszczeń, bezpieczeństwo | art. 6 ust. 1 lit. f |
| ograniczanie hurtowego zakładania kont (adres IP i domena adresu e-mail zapisywane przy rejestracji) | art. 6 ust. 1 lit. f (prawnie uzasadniony interes: bezpieczeństwo systemu i ochrona kontrahentów przed zakładaniem kont na ich dane) |
Zakładanie konta — ograniczanie nadużyć. W chwili rejestracji zapisujemy na naszym serwerze adres IP, z którego przyszło zgłoszenie, oraz domenę podanego adresu e-mail (część po znaku @, np. firma.pl — bez części przed nim). Służy to wyłącznie policzeniu, ile kont zakładanych jest z jednego adresu IP i z jednej domeny w krótkim czasie, i zatrzymaniu hurtowego zakładania kont na cudze numery NIP. Nie budujemy z tego profilu i nie łączymy tych zapisów z Twoim kontem po zakończeniu rejestracji. Zapisy usuwamy automatycznie po 2 dniach (pkt 8).
Usunięcie konta: w każdej chwili możesz usunąć konto bezpośrednio w Aplikacji — trwale kasujemy wówczas dane konta (profil firmy, cennik, punkty rozładunku, historię zamówień), z zastrzeżeniem danych, które musimy zachować dla celów podatkowo-rachunkowych (pkt 8). Razem z kontem usuwamy też dziennik zgód (pkt 3.2) — poza zapisem zgody na wpis do KRD, jeżeli na jej podstawie przekazaliśmy do KRD wpis pozytywny.
Jeśli wyrazisz zgodę na powiadomienia, zapisujemy identyfikator (token) powiadomień Twojego urządzenia, aby wysyłać Ci powiadomienia dotyczące zamówień i cennika. Do ich dostarczenia korzystamy z usługi operatora systemu, z którego korzystasz:
Do usługi push przekazywany jest token urządzenia oraz treść powiadomienia (status zamówienia albo informacja o cenniku). Nie przekazujemy tą drogą danych firmy, treści zamówień ani cen. Zapisujemy również, czy i kiedy dane powiadomienie zostało otwarte oraz na jakiej platformie (iOS albo Android) — jednorazowo dla każdej wysłanej wiadomości. Służy to wyłącznie potwierdzeniu, że informacja o statusie zamówienia albo o cenniku do Ciebie dotarła; poza tym jednym zdarzeniem nie zapisujemy, jak korzystasz z Aplikacji. Zgodę możesz w każdej chwili cofnąć w ustawieniach systemu (iOS albo Android). Podstawą jest art. 6 ust. 1 lit. b oraz lit. f RODO (informowanie o statusie zamówień i ofercie).
Lista wiadomości w Aplikacji. Wiadomości, które do Ciebie wysyłamy, są dostępne również w samej Aplikacji — pod ikoną dzwonka obok „Mój profil”. Znajdziesz tam informacje o cenniku i zamówieniach oraz komunikaty bieżące (na przykład o przestoju produkcyjnym). Lista działa niezależnie od zgody na powiadomienia: jeśli powiadomień nie włączyłeś albo je wyłączyłeś, wiadomość i tak będzie tam czekać. Zapisujemy przy niej znacznik przeczytania — czy i kiedy daną wiadomość przeczytałeś w Aplikacji. Służy on wyłącznie do tego, żeby przestać oznaczać ją jako nową; jest odrębny od potwierdzenia otwarcia powiadomienia push opisanego wyżej i również nie jest statystyką korzystania z Aplikacji. Okresy przechowywania obu znaczników podaje tabela w pkt 8.
Usuwanie wiadomości z listy. Wiadomość możesz z listy usunąć — pojedynczo albo wszystkie naraz. Znika wtedy z Aplikacji, a my zapisujemy datę jej usunięcia. Sama wiadomość nie jest kasowana: jej treść, data wysłania i data usunięcia zostają w panelu CHEMAXA, abyśmy mogli obsłużyć Twoje zapytania i wykazać, jakie informacje i kiedy do Ciebie wysłaliśmy (rozliczalność). Podstawą jest art. 6 ust. 1 lit. f RODO. Datę usunięcia przechowujemy tak długo jak samą wiadomość — do usunięcia konta (tabela w pkt 8).
Po wpisaniu NIP Aplikacja wysyła ten numer na nasz serwer, który odpytuje publiczne rejestry, aby podpowiedzieć nazwę i adres firmy: Wykaz podatników VAT Ministerstwa Finansów oraz CEIDG (dane.biznes.gov.pl). Do rejestrów przekazywany jest wyłącznie NIP.
Dotyczy wyłącznie wersji na iOS. Podczas wpisywania adresu dostawy fragmenty tekstu są przekazywane usłudze map Apple w celu wyświetlenia podpowiedzi (polityka prywatności Apple). Aplikacja nie korzysta z lokalizacji urządzenia.
Jeśli wybierzesz wysyłkę przez WhatsApp (Meta Platforms), aplikację pocztową lub Wiadomości (SMS), przetwarzanie danych w tych usługach odbywa się zgodnie z ich własnymi politykami prywatności.
Dotyczy wyłącznie wersji na iOS. Jeżeli Aplikacja ulegnie awarii albo przestanie odpowiadać, system iOS przygotowuje techniczny raport diagnostyczny (mechanizm MetricKit wbudowany w system Apple). Aplikacja przesyła taki raport na nasz serwer (CHEMAXA), aby umożliwić nam usunięcie błędu. Wersja na Android nie wysyła takich raportów.
Raport zawiera wyłącznie dane techniczne: rodzaj zdarzenia (awaria albo zawieszenie), zapis stanu programu w momencie błędu (tzw. stos wywołań), wersję Aplikacji, wersję systemu iOS oraz model urządzenia. Raport nie zawiera danych firmy, treści zamówień ani identyfikatora Twojego konta i nie jest z nimi łączony. Wraz z raportem zapisujemy adres IP połączenia — wyłącznie po to, by ograniczyć nadużycie tego mechanizmu; adres IP jest daną osobową i podlega tej polityce (retencja: 90 dni, jak cały raport). Nie korzystamy w tym celu z żadnych narzędzi firm trzecich — dane nie opuszczają serwera CHEMAXA. Podstawą przetwarzania jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: zapewnienie poprawnego działania Aplikacji).
Jeżeli zamawiasz regularnie, możesz zapisać w Aplikacji harmonogram: ilość, punkt rozładunku, odstęp między dostawami i termin najbliższej z nich. Przetwarzamy te dane, aby przypomnieć Ci powiadomieniem o zbliżającym się terminie i przygotować wypełniony formularz zamówienia.
Harmonogram nie składa zamówienia automatycznie — każda dostawa wymaga Twojego potwierdzenia w Aplikacji. Harmonogram możesz w każdej chwili wstrzymać lub usunąć, a jego usunięcie nie wpływa na złożone wcześniej zamówienia. Podstawą przetwarzania jest art. 6 ust. 1 lit. b RODO (wykonanie umowy na Twoje żądanie).
Jako zalogowany Klient możesz otrzymać indywidualny kod polecający i przekazać go innej firmie. Jeżeli firma ta poda kod przy zakładaniu konta, zapisujemy powiązanie między Waszymi kontami (kto kogo polecił, kod i datę), aby rozliczyć rabat po obu stronach.
Oznacza to, że obie firmy dowiedzą się o istnieniu tego powiązania — jest ono widoczne dla nas i stanowi podstawę przyznania rabatu. Nie udostępniamy polecającemu danych kontaktowych poleconej firmy ani odwrotnie; nie przekazujemy tych informacji nikomu poza CHEMAXA. Przekazanie kodu innej firmie jest Twoją decyzją i następuje poza Aplikacją (np. e-mailem, telefonicznie). Podstawą przetwarzania jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: rozliczenie programu poleceń i przeciwdziałanie nadużyciom).
Po zrealizowanej dostawie możesz ocenić ją w Aplikacji w skali 1–5 i dodać opcjonalny komentarz. Ocena jest wewnętrzna: widzi ją wyłącznie CHEMAXA i służy nam do kontroli jakości obsługi (przy niskiej ocenie możemy się z Tobą skontaktować, aby wyjaśnić problem). Ocen nie publikujemy i nie przekazujemy nikomu poza CHEMAXA — to nie jest recenzja w App Store ani opinia publiczna.
Ocena jest dobrowolna i przypisana do konkretnego zamówienia; możesz ją w każdej chwili zmienić, wysyłając nową. Podstawą przetwarzania jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: kontrola jakości usług i utrzymanie relacji z klientami). Oceny są usuwane wraz z usunięciem konta.
Serwis wykorzystuje:
_gcl_au) i podobne identyfikatory służące do przypisania wizyty lub połączenia do kliknięcia w reklamę. Dostawcą jest Google Ireland Ltd. (polityka prywatności Google). Te technologie stosujemy na podstawie zgody (art. 6 ust. 1 lit. a RODO oraz art. 173 ustawy Prawo telekomunikacyjne / art. 399 ustawy Prawo komunikacji elektronicznej).Zgodę na pliki cookies inne niż niezbędne możesz w każdej chwili wycofać lub zmienić — poprzez ustawienia zgód w Serwisie lub ustawienia przeglądarki (blokowanie/usuwanie cookies). Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania sprzed jej wycofania. Możesz także skorzystać z narzędzia Moje Centrum Reklam Google.
Serwis nie wyświetla reklam osobom trzecim ani nie prowadzi profilowania wywołującego skutki prawne.
Dane osobowe możemy ujawniać:
Co do zasady przetwarzamy dane na terenie EOG. Korzystanie z niektórych usług może jednak wiązać się z przekazaniem danych do państw trzecich (w szczególności USA):
Dostawcy ci uczestniczą w programie EU–US Data Privacy Framework lub stosują standardowe klauzule umowne zatwierdzone przez Komisję Europejską, co zapewnia odpowiedni stopień ochrony danych wymagany przez RODO.
| Kategoria danych | Okres przechowywania |
|---|---|
| zapytania i korespondencja, które nie zakończyły się umową | do 3 lat od zakończenia korespondencji (obrona przed roszczeniami) |
| zapytania zapisane z formularza w Aplikacji (leady) | usuwane automatycznie po upływie okresu retencji (domyślnie 2 lata) lub wcześniej na żądanie |
| notatka z rozmowy z potencjalnym klientem (dane kontaktowe firmy, obecny dostawca i cena, omówiony poziom cenowy, notatka o potrzebach) — pkt 3.1 | do 2 lat od ostatniego kontaktu, a w razie zgłoszenia sprzeciwu lub żądania usunięcia — niezwłocznie |
| adres e-mail używany do wysyłki cyklicznej aktualizacji oferty — pkt 3.1 | do zgłoszenia sprzeciwu wobec takiej wysyłki albo do usunięcia notatki/konta |
| konto stałego klienta w Aplikacji (profil firmy, cennik, punkty rozładunku, historia zamówień) | do czasu usunięcia konta przez klienta lub ustania relacji; dane związane z zamówieniami i fakturami — jak w wierszu niżej |
| dane związane z zawartymi umowami, zamówieniami i fakturami | okres trwania umowy, a następnie okres wymagany przepisami o rachunkowości i podatkach — co do zasady 5 lat od końca roku, w którym powstał obowiązek podatkowy |
| wynik odczytu faktury z pomocą sztucznej inteligencji — pkt 3.2 „Kontrahenci i ich przedstawiciele” | w panelu CHEMAXA — razem z danymi zamówienia, którego dotyczy faktura (jak w wierszu wyżej); u dostawcy (Anthropic) plik faktury i odpowiedź modelu są usuwane automatycznie w ciągu 30 dni, dłużej wyłącznie w przypadkach przewidzianych w warunkach dostawcy (naruszenie zasad korzystania z usługi, obowiązek prawny) |
| wynik odczytu faktury kosztowej albo paragonu z pomocą sztucznej inteligencji — pkt 3.2 „Kontrahenci i ich przedstawiciele” | w panelu CHEMAXA — razem z wpisem kosztu, którego dotyczy, czyli 5 lat od końca roku podatkowego, w którym koszt ujęto; wynik odczytu, z którego nie powstał wpis kosztu — najdłużej 90 dni od odczytu; u dostawcy (Anthropic) plik i odpowiedź modelu — jak w wierszu wyżej |
| projekt odpowiedzi na zapytanie i streszczenie korespondencji wklejonej do panelu, przygotowane z pomocą sztucznej inteligencji — pkt 3.1 | nie przechowujemy — w panelu CHEMAXA zostaje wyłącznie odpowiedź wysłana przez upoważnioną osobę (jak zapytania i korespondencja) albo zatwierdzona przez nią notatka (jak historia kontaktu handlowego albo dane zamówienia) oraz zapis techniczny bez treści; u dostawcy (Anthropic) przekazana treść i odpowiedź modelu są usuwane automatycznie w ciągu 30 dni, dłużej wyłącznie w przypadkach przewidzianych w warunkach dostawcy (naruszenie zasad korzystania z usługi, obowiązek prawny) |
| identyfikator (token) powiadomień push | do wyłączenia powiadomień, odinstalowania Aplikacji lub usunięcia konta |
| potwierdzenie otwarcia powiadomienia (pkt 4.4) | do 12 miesięcy od zapisania potwierdzenia |
| znacznik przeczytania wiadomości na liście w Aplikacji (pkt 4.4) | do 12 miesięcy od zapisania znacznika |
| historia wysłanych powiadomień (data, treść, wynik wysyłki, data usunięcia wiadomości z listy w Aplikacji — pkt 4.4) | do usunięcia konta klienta — jako dowód, że informacja o zamówieniu albo o zmianie cennika została wysłana |
| dane kandydatów do pracy | czas trwania rekrutacji, a za zgodą kandydata — do 12 miesięcy po jej zakończeniu (na potrzeby przyszłych rekrutacji) |
| dane przetwarzane na podstawie zgody (np. marketing) | do wycofania zgody |
| cookies pomiarowe w Serwisie | zgodnie z okresem ważności danego pliku cookie lub do wycofania zgody |
| harmonogramy dostaw i powiązania z programu poleceń | do usunięcia przez Klienta lub do usunięcia konta (usunięcie konta kasuje jedno i drugie) |
| oceny dostaw (skala 1–5 z opcjonalnym komentarzem) | do usunięcia konta (usunięcie konta kasuje oceny) |
| data wysłania prośby o opinię (Rzetelna Firma) | do usunięcia konta |
| dane osób kontaktowych u kontrahenta (imię i nazwisko, rola, telefon, e-mail, notatka) | do usunięcia konta klienta albo do ustania współpracy |
| dodatkowe adresy e-mail osób obsługujących zamówienia u kontrahenta | do usunięcia adresu na prośbę kontrahenta lub tej osoby, do usunięcia konta klienta albo do ustania współpracy |
| historia kontaktu handlowego (notatki z rozmów, terminy przypomnień) | do usunięcia konta klienta |
| archiwum raportów o wiarygodności płatniczej (KRD) — plik raportu wraz z przypisaną do tego pliku kopią odczytu (ocena, data, numer raportu, sugerowany limit kupiecki) | 24 miesiące od wgrania raportu do systemu (usuwane automatycznie wraz z plikiem raportu) albo wcześniej — przy usunięciu konta klienta |
| bieżąca ocena wiarygodności na karcie kontrahenta (ocena KRD, data odczytu, numer raportu, sugerowany limit kupiecki, uwaga), wewnętrzna ocena dyscypliny płatniczej oraz dane handlowe (termin płatności, limit kredytu, obecny dostawca i jego cena, status i źródło pozyskania kontaktu) | do usunięcia konta klienta albo do ustania współpracy |
| dane techniczne Serwisu (adres IP, data i godzina żądania, rodzaj przeglądarki i systemu, odwiedzane podstrony — w tym otwarcia strony z ofertą udostępnioną linkiem) | do 12 miesięcy od zapisania |
| dziennik zgód (data i godzina, droga, oznaczenie treści klauzuli, adres IP albo osoba wprowadzająca zapis) — dla zgody na wpis do KRD i na wiadomości SMS | razem z kontem klienta, a jeżeli na podstawie zgody poszedł wpis do KRD — przez czas, przez jaki ten wpis pozostaje w rejestrze, i przez okres przedawnienia roszczeń |
| zapis pustej kratki zgody przy zakładaniu konta (data, oznaczenie treści klauzuli, bez adresu IP) — pkt 3.2 | razem z kontem klienta |
| zapisy z rejestracji konta służące ograniczaniu nadużyć (adres IP, domena adresu e-mail) | 2 dni od zapisania (usuwane automatycznie) |
| raporty o awariach i zawieszeniach Aplikacji | 90 dni od otrzymania (usuwane automatycznie) |
| dane zapisane lokalnie w Aplikacji | do nadpisania przez użytkownika lub odinstalowania Aplikacji (wyłącznie na urządzeniu użytkownika) |
Masz prawo do:
Wnioski realizujemy niezwłocznie, nie później niż w ciągu miesiąca od otrzymania żądania. Wnioski można kierować na adres info@chemaxa.com.
Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały. Pomiar skuteczności reklam (pkt 5) służy wyłącznie celom statystyczno-rozliczeniowym. Odczyt faktur z pomocą sztucznej inteligencji (pkt 3.2 „Kontrahenci i ich przedstawiciele”) również nie jest taką decyzją — odczytane wartości sprawdza i zatwierdza człowiek. Nie są nią też projekt odpowiedzi na zapytanie ani streszczenie wklejonej korespondencji (pkt 3.1) — szkic czyta, poprawia i wysyła człowiek, a notatkę zapisuje dopiero po jej zatwierdzeniu.
Stosujemy odpowiednie środki techniczne i organizacyjne, m.in.: szyfrowanie transmisji danych (SSL/TLS — w Serwisie, w Aplikacji oraz w komunikacji z serwerem CHEMAXA i usługami zewnętrznymi), kontrolę dostępu do systemów i panelu administracyjnego (uwierzytelnianie, ograniczenie liczby prób logowania), zasadę minimalnego dostępu (konto bazy danych o zawężonych uprawnieniach), zabezpieczenie zapytań do bazy przed wstrzyknięciem SQL, przechowywanie tokenów sesji wyłącznie w postaci skrótu (hash), ochronę plików konfiguracyjnych i sekretów, regularne kopie zapasowe oraz szkolenia personelu. Dane zapisane lokalnie w Aplikacji chronią mechanizmy zabezpieczeń systemu operacyjnego: na iOS — szyfrowanie urządzenia i Keychain (tam trafia token sesji), na Androidzie — EncryptedSharedPreferences (AES-256) przy wyłączonej kopii zapasowej danych Aplikacji.
Polityka może być aktualizowana, m.in. w razie zmiany funkcji Serwisu lub Aplikacji albo zmiany przepisów. Aktualna wersja jest zawsze dostępna pod tym adresem, wraz z datą początku obowiązywania.
The controller of personal data is CHEMAXA Adrian Matusiak, ul. Promienna 14, 71-218 Bezrzecze, Poland, VAT ID (NIP) 8512981442 (“CHEMAXA”, “we”).
Data protection contact:
We process personal data in accordance with Regulation (EU) 2016/679 (the “GDPR”) and applicable Polish data protection and e-services law, following the data minimisation principle.
This policy describes the processing of personal data of: users of the www.chemaxa.com website (the “Website”); users of the “Chemaxa” mobile application for iOS and Android (the “App”); customers, contractors and their representatives; persons contacting us by e-mail, phone, SMS or WhatsApp; and job applicants.
When you contact us (including sending a quotation request or an order — also from the App), we process the data provided in the correspondence: name, company name, VAT ID, delivery address, phone number, e-mail address and message content.
| Purpose | Legal basis (GDPR) |
|---|---|
| handling the enquiry, preparing a quotation, accepting and performing an order (pre-contractual steps and contract performance) | Art. 6(1)(b) |
| contractor verification (including in public registers), invoicing, tax and accounting obligations | Art. 6(1)(c) |
| ongoing business communication; establishing, pursuing or defending claims; system security (legitimate interest) | Art. 6(1)(f) |
| direct marketing of our own products and services — where you give separate consent | Art. 6(1)(a) / (f) |
| assessing the effectiveness of Google ads (which keywords and devices bring enquiries and customers) — legitimate interest | Art. 6(1)(f) |
When you send a quotation request from a page you reached through a Google ad, we store information about that ad together with the request: the keyword that triggered it, the keyword match type, the device type (phone, tablet or computer) and the ad group and ad numbers. We use it only to assess which ads bring enquiries and customers and to set ad bids. We do not store the click identifier and we do not pass this information to Google. We keep it with the enquiry and in the e-mail notifying us of it, for the periods given in section 8 for enquiries and correspondence.
Providing the data is voluntary but necessary to receive a quotation or have an order fulfilled.
Consent to contact by SMS and e-mail — Electronic Communications Law. Beyond the GDPR, sending messages to your phone number and e-mail address is governed by the Polish Electronic Communications Law of 12 July 2024 (in force since 10 November 2024; it replaced the Telecommunications Law). Under its Article 398, sending commercial information and direct marketing requires your prior consent. We therefore separate two kinds of messages:
You may withdraw consent at any time — an e-mail to info@chemaxa.com or a reply to the message received is enough. Withdrawal does not affect the lawfulness of messages sent beforehand and does not stop messages concerning orders to which you are a party.
AI-assisted draft replies. We may prepare a reply to a quotation request or an order with the help of the Claude artificial intelligence model (provider: Anthropic). This happens only when an authorised person at CHEMAXA clicks the button for a specific enquiry — never automatically. The provider then receives the text of the remarks entered in the enquiry — with phone numbers, e-mail addresses, VAT IDs and bank account numbers removed before sending — together with the quantity and town of delivery (without the street or postcode) and the type of enquiry (quotation or order). We do not pass on the company name or the name of any person given in the enquiry or recorded on the company’s account in our panel; however, if you enter other information about yourself or about other people in the remarks, it reaches the provider together with the rest of the text. The model only prepares a draft: an authorised person at CHEMAXA reads it, edits it and sends it, and the model sends nothing itself. We do not keep the draft — the panel keeps only the reply that person sends (as correspondence) and a technical record without content (date and service usage), needed to account for its cost. The legal basis is Art. 6(1)(b) GDPR (replying to your enquiry before a contract is concluded) and Art. 6(1)(f) GDPR (legitimate interest: a prompt and accurate reply to the enquiry). Sections 6, 7 and 8 describe the recipient, the transfer outside the EEA and the retention period.
Correspondence pasted into the panel. An authorised person at CHEMAXA may paste an e-mail from a customer or contractor into our administration panel to save it as a note on the company’s record or — where it concerns a delivery date — as a short note on the order. At that person’s request, never automatically, the text of the message may be sent to the Claude artificial intelligence model (provider: Anthropic) to prepare a short summary and to read the dates in it (e.g. a proposed delivery date). Before sending, we remove quoted earlier correspondence, phone numbers, bank account numbers and VAT IDs from the text; together with the text we send the date of the message, so that expressions such as “next Thursday” can be turned into a date. The rest of the text — including the sender’s signature with their name, if it contains one — reaches the provider as written. A person checks the summary and the dates read; the panel stores only the note that person approves, and we do not keep the model’s result (only a technical record without content remains, as with draft replies). The legal basis is Art. 6(1)(b) GDPR (performing the order, including agreeing the delivery date) and Art. 6(1)(f) GDPR (legitimate interest: an accurate record of what was agreed in correspondence). Sections 6, 7 and 8 describe the recipient, the transfer outside the EEA and the retention period.
With your consent we may submit to the National Debt Register (Krajowy Rejestr Długów Biuro Informacji Gospodarczej S.A., ul. Danuty Siedzikówny 12, 51-214 Wrocław, Poland, KRS 0000169851) positive information — that is, confirmation that you paid us on time.
Legal basis: Article 6(1)(a) GDPR (consent) in conjunction with Article 18 of the Polish Act of 9 April 2010 on the disclosure of business information and the exchange of business data. Without your consent we submit nothing about you to the register — unless you yourself request such an entry, which the Act treats as equivalent to consent.
What we submit: company name, address, tax identification number (NIP) and, for each obligation, the amount, currency, due date and payment date. We do not submit your phone number or e-mail address.
Why: a positive entry builds a documented payment history for your company, visible to counterparties, banks and leasing providers who check the register.
How to give and how to withdraw consent — any of these, as you prefer:
Withdrawing consent is as easy as giving it (Article 7(3) GDPR) and takes effect for the future: from the moment of withdrawal we submit nothing new to the register. ⚠️ Withdrawal does not delete entries already submitted — these remain in the register under the Act and the register's own rules. You may ask us separately to have an existing entry removed; we will then apply to the register on your behalf.
Consent log. So that we can demonstrate consent, as Article 7(1) GDPR requires, we keep a record of it. For every grant and every withdrawal of consent — both to the National Debt Register entry and to SMS messages — we note:
An IP address is personal data and is covered by this policy. We store it solely so that the consent record has evidential value, and we use it for nothing else — we do not build a profile from it, we do not derive location from it, and we do not combine it with the Website technical data described in section 3.4.
An unticked box when creating an account. If you leave a consent box unticked when creating an account in the App, we record in the log the date and the identifier of the clause wording we showed you — so that your profile in the App does not claim we never asked for that consent. Such a record is neither consent nor refusal, contains no IP address and is deleted together with the account. Legal basis: Article 6(1)(f) GDPR (legitimate interest: an accurate record of what we asked you).
⚠️ We keep the consent log for longer than the account itself. If you delete your account and we had previously, with your consent, submitted a positive entry to the National Debt Register, that entry remains in the register — and the proof that consent existed must remain with it. Deleting the log would leave an entry in the register with nothing behind it. Legal basis: Article 17(3)(b) GDPR (legal obligation) and Article 17(3)(e) GDPR (establishment, exercise or defence of legal claims). Only the record of consent to the register entry (together with any withdrawal of it) is kept. The record of consent to SMS messages, and a record of consent to the register entry after which NO entry was submitted, are deleted together with the account.
Contact noted during a conversation (prospective customers). If we discuss AdBlue® deliveries over the phone — because you call us or respond to our contact — we record a note of that conversation in our admin panel: company name, VAT ID, phone number, e-mail address, the postcode of the delivery location, your current supplier and the price you pay today, the volume you are interested in and the price level discussed, together with a short note on what you need. This data comes from you alone — we do not buy contact lists and do not obtain it from external databases. The legal basis is Art. 6(1)(b) GDPR (steps taken at your request prior to entering into a contract) and Art. 6(1)(f) GDPR (legitimate interest: keeping a record of what was agreed and preparing an offer).
Periodic price-offer updates. The price of AdBlue® changes over time and an offer is valid for a defined period. To people and companies we have spoken to about deliveries — both established contractors and people whose contact details we noted during a conversation — we send a price-offer update to the e-mail address provided: the price level for each volume band and the period for which that offer applies. The legal basis is Art. 6(1)(f) GDPR (legitimate interest: direct marketing of our own products, carried out towards businesses with whom we are in commercial contact) and, to the extent that the rules on providing services by electronic means require consent for sending commercial information, consent given by providing us with an e-mail address for the purpose of receiving an offer (Art. 6(1)(a) GDPR).
You may object at any time — simply reply to any of our messages or write to info@chemaxa.com. An objection takes effect immediately and needs no justification; once raised we stop sending offer updates and, if you wish, delete the conversation note in full. Sending offer updates is not an automated decision and not profiling (section 10): the content and price level are set by a human on the basis of the earlier conversation, and the send is triggered manually.
In connection with concluding and performing contracts we process data of contractor representatives and contact persons: name, position, business e-mail and phone number, together with company details. The legal basis is our legitimate interest in maintaining business contacts (Art. 6(1)(f) GDPR) and, for contracting parties’ data, Art. 6(1)(b) and (c) GDPR.
After a completed delivery we may send you an e-mail asking for a review of our cooperation on our Rzetelna Firma business card. Leaving a review is entirely voluntary and happens on that service’s own website under its own privacy policy — we receive no additional data as a result. On your account we store only the date such a request was sent, so that we do not ask repeatedly. Legal basis: Art. 6(1)(f) GDPR (legitimate interest: building the company’s credibility). You may object at any time — simply reply to the message.
On the contractor’s record in our admin panel we store the details of contact persons on their side: name, role (e.g. owner, driver, accounts, logistics), business phone number, business e-mail address and a short note that makes contact easier (e.g. the hours at which it is best to call). This data is given to us by the contractor — we do not obtain it from any other source. It is used solely to arrange and complete deliveries and for day-to-day business contact. The legal basis is Art. 6(1)(f) GDPR (legitimate interest: maintaining contact with the contractor).
We also record the history of business contact: the date and type of the conversation (phone, e-mail, SMS, WhatsApp, meeting), a short note on what was discussed, any reminder date for the next contact, and the CHEMAXA person who wrote the note. These records are strictly internal — only authorised CHEMAXA staff can see them. The legal basis is Art. 6(1)(f) GDPR (legitimate interest: serving the contractor and keeping track of what was agreed).
Payment-reliability assessment. Before we offer a contractor deferred payment (trade credit), we check their payment reliability. For that purpose we obtain a business report from Krajowy Rejestr Długów Biuro Informacji Gospodarczej S.A. (the Polish National Debt Register, “KRD BIG S.A.”) and store it — the report file together with a copy of the reading: the score, the report date and number, and the suggested trade-credit limit. These two things have different retention periods and section 8 lists them separately: the archived report (the file and the copy of the reading attached to it) is deleted after 24 months, whereas the current reliability assessment held on the contractor’s record stays for as long as the cooperation lasts — it is what we base the deferred-payment decision on with every further order, and the date of the reading shown next to it makes clear when the assessment has aged and is worth refreshing. We also keep our own internal assessment of how punctually the contractor pays, and we record the agreed commercial terms (payment term, credit limit, current supplier and their price, status and how the contact was acquired). The legal basis is Art. 6(1)(f) GDPR (legitimate interest: assessing commercial risk before granting deferred payment and protecting against financial loss).
Where the contractor is a sole trader, this data concerns a natural person and is fully covered by this policy — you then have the right to access, rectify and erase it, and to object to the processing (section 9). The assessment is not an automated decision: the terms of cooperation are decided by a human being (section 10). The data described in the three paragraphs above is processed solely in the CHEMAXA admin panel — it is not visible in the App and is not included in the copy of your data that you can download yourself from your account in the App. This does not limit your right of access: on a request sent to info@chemaxa.com we will provide this data as well.
Additional e-mail addresses. At the contractor’s request we also store on their record in our admin panel additional business e-mail addresses of people who handle orders on their side. We send them the messages we send to the contact e-mail — including order and delivery-date confirmations, payment reminders and demands, information about our offer and prices, the invitation to the App and the request for a review. We do not send them invoices or messages about consent to an entry in the National Debt Register. Additional addresses are not used for signing in. They are provided by the contractor; we delete an address at the contractor’s request or at the request of the person it belongs to — including when that person does not wish to receive information about our offer (info@chemaxa.com). A record of messages sent before deletion remains in our log of sent messages. The legal basis is Art. 6(1)(f) GDPR (legitimate interest: contact with the people who handle orders on the contractor’s side). These addresses are included in the copy of your data that you can download from your account in the App.
Carriers. When we order transport, we record the carrier’s details — name, address and country, also where the carrier is a sole trader — and include them in the transport order. The legal basis is Art. 6(1)(b) GDPR (concluding and performing the contract of carriage) and, for keeping the list of carriers, Art. 6(1)(f) GDPR (legitimate interest: organising deliveries). We keep the data for the duration of the cooperation, and in transport documents for the periods set out in section 8.
AI-assisted reading of invoices. In our administration panel we may read purchase and sales invoices, as well as carriers’ invoices for transport, with the help of the Claude artificial intelligence model (provider: Anthropic). We may read cost invoices and receipts (e.g. for fuel, telephone or services) in the same way, including those issued by sole traders. This happens only when an authorised person at CHEMAXA clicks the reading button for a specific invoice — never automatically. The provider then receives the invoice file with the data shown on it: names, VAT IDs and addresses of the seller and the buyer (and of the delivery recipient and place of delivery where shown), document numbers, quantities, prices and amounts, the name of the person who issued the invoice where shown, and — on a carrier’s invoice — also the vehicle registration number where the carrier has included it. On a cost invoice or a receipt this may also include the name of a seller who is a sole trader, their bank account number and the cashier’s identifier, where printed. That person checks the values read and records them on the order only after approving them — the model decides nothing; values from a cost invoice or a receipt are recorded in the same way with the company’s costs. We keep the result of the reading in the panel so that the same file is not sent again. The legal basis is Art. 6(1)(f) GDPR (legitimate interest: transcribing invoice data efficiently and without errors) and, for recording the cost in the accounts, Art. 6(1)(c) GDPR (tax and accounting obligations). Sections 6, 7 and 8 describe the recipient, the transfer outside the EEA and the retention period.
From job applicants we process the data required by labour law (name, date of birth, contact details, education, qualifications, employment history) under Art. 6(1)(b) and (c) GDPR. Additional data included in a CV (e.g. photo, interests) is processed on the basis of consent (Art. 6(1)(a) GDPR), and special-category data (e.g. disability status) solely on the basis of explicit consent (Art. 9(2)(a) GDPR). Consent may be withdrawn at any time.
When you use the Website, technical data is processed automatically: IP address, date and time of the request, browser and system type, pages visited. This data serves the proper functioning and security of the Website (Art. 6(1)(f) GDPR) and — with consent — the measurement purposes described in section 5.
The App is used to order bulk AdBlue® deliveries and to send quotation requests. It is a business-to-business tool and is not directed at persons under 16. The App works in two modes: (1) without signing in — an enquiry/order form for new customers; and (2) signed in — a returning-customer account with an individual price list, unloading points and order history.
For part of its functionality the App uses the CHEMAXA server (api.chemaxa.com), on which we process the data described below as the controller. We do not share this data with third parties for marketing purposes.
The iOS and Android versions provide the same functionality and use the same server. The differences follow from the platform: Sign in with Apple, address autocomplete (Apple Maps, section 4.6) and crash reports (MetricKit, section 4.9) exist only in the iOS version. In the Android version you sign in with an e-mail address and password, and push notifications are delivered by Firebase Cloud Messaging (Google) — see section 4.4.
Data entered in the form (VAT ID, company name, delivery address, phone, e-mail, order parameters) is also stored locally on your device so you do not have to re-enter it. You can delete it by overwriting the fields or uninstalling the App. Local data is protected by operating-system security mechanisms — the Keychain on iOS and encrypted preference storage (EncryptedSharedPreferences) on Android; in the Android version backup of App data is disabled.
When you fill in the form and tap “Send quotation request” or “Send order”, the form data (company name, VAT ID, delivery address/location, phone, e-mail, approximate quantity, delivery dates and unloading hours) is saved on our server as an enquiry so that we can prepare a quotation and contact you. This happens when you tap the button, even if you ultimately do not complete sending the message via WhatsApp, e-mail or SMS (we do not want to lose contact with interested prospects). We also record limited technical data (IP address, device/app information) to ensure security and prevent abuse. Separately, if you choose a channel (WhatsApp, e-mail or SMS), the message content is handed to the app you choose and sending requires your confirmation.
| Purpose | Legal basis (GDPR) |
|---|---|
| handling the enquiry, preparing a quotation and contacting you back; pre-contractual steps | Art. 6(1)(b) and (f) (legitimate interest: responding to the enquiry and keeping in touch with a prospect) |
| system security and abuse prevention (technical data) | Art. 6(1)(f) |
Providing the data is voluntary, but without contact details we cannot send a quotation. Enquiries are deleted automatically after the retention period (section 8) and at your request.
An authorised person at CHEMAXA may use the quantity and town of delivery (without the street or postcode) from such an enquiry to prepare an AI-assisted draft reply — without the company name, VAT ID, phone number or e-mail address; section 3.1 (“AI-assisted draft replies”) sets out the rules.
You can sign in in two ways, and both can be linked to the same account:
…@privaterelay.appleid.com), and, at first sign-in, your name if you share it. Sign in with Apple does not disclose your password to us.You can have both methods linked to the same account at the same time (e.g. add a password to an account created via Apple in the "My Profile" screen) and choose which one to use the next time you sign in.
Within the account we process on our server: company data (name, VAT ID, phone, address, contact e-mail, invoice e-mail, additional e-mail addresses of people handling orders — section 3.2 “Contractors and their representatives”), your individual price list, saved unloading points (address, contact person, phone, hours, notes) and order details and history.
| Purpose | Legal basis (GDPR) |
|---|---|
| operating the account, presenting your individual price list, accepting and performing orders | Art. 6(1)(b) |
| invoicing, tax and accounting obligations | Art. 6(1)(c) |
| support and contact, establishing/pursuing/defending claims, security | Art. 6(1)(f) |
| limiting bulk account creation (IP address and e-mail domain recorded at registration) | Art. 6(1)(f) (legitimate interest: system security and protecting contractors against accounts being created against their data) |
Creating an account — limiting abuse. At the moment of registration we record on our server the IP address the request came from and the domain of the e-mail address provided (the part after the @ sign, e.g. company.com — without the part before it). This serves solely to count how many accounts are created from a single IP address and a single domain within a short period, and to stop bulk creation of accounts against other companies' VAT IDs. We do not build a profile from this and we do not link these records to your account once registration is complete. The records are deleted automatically after 2 days (section 8).
Account deletion: you can delete your account at any time directly in the App — we then permanently erase the account data (company profile, price list, unloading points, order history), except for data we must retain for tax and accounting purposes (section 8). The consent log (section 3.2) is deleted together with the account as well — except for the record of consent to the National Debt Register entry where, on the basis of that consent, we submitted a positive entry to the register.
If you consent to notifications, we store your device’s notification token to send you notifications about orders and pricing. Delivery relies on the service of the operating system you use:
The push service receives the device token and the notification text (order status or a pricing notice). We do not send company data, order contents or prices through this channel. We also record whether and when a given notification was opened and on which platform (iOS or Android) — once for each message sent. This serves solely to confirm that the information about your order status or about pricing reached you; apart from that single event we do not record how you use the App. You can withdraw consent at any time in your system settings (iOS or Android). Legal basis: Art. 6(1)(b) and (f) GDPR (informing you about order status and our offer).
The message list in the App. The messages we send you are also available in the App itself — under the bell icon next to “My profile”. There you will find pricing and order information as well as current announcements (for example about a production stoppage). The list works independently of your consent to notifications: if you never enabled notifications, or turned them off, the message will still be waiting for you there. We record a read marker alongside it — whether and when you read that message in the App. It serves solely to stop marking the message as new; it is separate from the confirmation that a push notification was opened described above and it is likewise not a statistic of how you use the App. The retention periods for both markers are given in the table in section 8.
Deleting messages from the list. You can delete a message from the list — one at a time or all at once. It then disappears from the App, and we record the date of its deletion. The message itself is not erased: its content, the date it was sent and the date of deletion remain in the CHEMAXA panel so that we can handle your enquiries and demonstrate what information we sent you and when (accountability). Legal basis: Art. 6(1)(f) GDPR. We keep the date of deletion for as long as the message itself — until your account is deleted (table in section 8).
When you enter a VAT ID, the App sends that number to our server, which queries public registers to suggest the company name and address: the Polish Ministry of Finance VAT register and CEIDG (dane.biznes.gov.pl). Only the VAT ID is sent to those registers.
Applies to the iOS version only. While you type the delivery address, text fragments are sent to Apple’s mapping service to display suggestions (Apple privacy policy). The App does not use device location.
If you choose to send via WhatsApp (Meta Platforms), your mail client or Messages (SMS), processing within those services is governed by their own privacy policies.
iOS only. If the App crashes or stops responding, iOS prepares a technical diagnostic report (MetricKit, a mechanism built into Apple’s operating system). The App sends that report to our server (CHEMAXA) so that we can fix the fault. The Android version does not send such reports.
The report contains technical data only: the type of event (crash or hang), a record of the program state at the moment of failure (a call stack), the App version, the iOS version and the device model. It contains no company data, no order contents and no identifier of your account, and it is not linked to them. Together with the report we store the IP address of the connection, solely to limit abuse of this mechanism; an IP address is personal data and is covered by this policy (retention: 90 days, same as the report). We use no third-party tools for this purpose — the data does not leave the CHEMAXA server. The legal basis is Art. 6(1)(f) GDPR (legitimate interest: keeping the App working correctly).
If you order regularly, you can save a schedule in the App: quantity, unloading point, the interval between deliveries and the date of the next one. We process this data to remind you by notification before the date and to pre-fill the order form.
A schedule never places an order automatically — every delivery requires your confirmation in the App. You can pause or delete a schedule at any time; deleting it does not affect orders already placed. The legal basis is Art. 6(1)(b) GDPR (performance of a contract at your request).
As a signed-in customer you can obtain an individual referral code and pass it to another company. If that company enters the code when creating an account, we record the link between your accounts (who referred whom, the code and the date) in order to settle the discount on both sides.
This means that both companies will know that the link exists — it is visible to us and is the basis for granting the discount. We do not disclose the referred company's contact details to the referrer or vice versa, and we do not share this information with anyone outside CHEMAXA. Passing the code to another company is your decision and happens outside the App (e.g. by e-mail or phone). The legal basis is Art. 6(1)(f) GDPR (legitimate interest: settling the referral programme and preventing abuse).
After a completed delivery you can rate it in the App on a scale of 1–5 and add an optional comment. The rating is internal: it is visible only to CHEMAXA and serves our quality control (after a low rating we may contact you to resolve the issue). Ratings are not published and are not shared with anyone outside CHEMAXA — this is not an App Store review or a public opinion.
Rating is voluntary and tied to a specific order; you can change it at any time by submitting a new one. The legal basis is Art. 6(1)(f) GDPR (legitimate interest: quality control and maintaining customer relationships). Ratings are deleted together with the account.
The Website uses:
_gcl_au) and similar identifiers used to attribute a visit or call to an ad click. Provider: Google Ireland Ltd. (Google privacy policy). We use these technologies on the basis of consent (Art. 6(1)(a) GDPR and the Polish e-communications law implementing the ePrivacy rules).You may withdraw or change your consent to non-essential cookies at any time — via the consent settings on the Website or your browser settings (blocking/deleting cookies). Withdrawal does not affect the lawfulness of prior processing. You may also use Google My Ad Center.
The Website does not display third-party advertising and does not carry out profiling producing legal effects.
We may disclose personal data to: authorised CHEMAXA staff; processors acting on our behalf (the hosting/server provider that runs the App back-end and stores account and enquiry data, accounting offices, IT and e-mail providers, transport and courier companies); Krajowy Rejestr Długów Biuro Informacji Gospodarczej S.A. (when we check a contractor’s payment reliability we pass the company’s identifying data — VAT ID and name — to that register and receive a business report in return, see section 3.2 “Contractors and their representatives”; that register is also the source of the payment-reliability data we did not receive from you); Apple (for Sign in with Apple account authentication and Apple Push Notification service delivery in the iOS version); Google Ireland Limited (Firebase Cloud Messaging — push notification delivery in the Android version); the SMS gateway operator — PROMOHUB sp. z o.o., ul. Bagatela 10/39, 00-585 Warsaw, Poland, KRS 0001077455, VAT ID (NIP) 7011181115, REGON 527265555, operator of the SMS-fly service (sms-fly.pl), to which we entrust your phone number when we send you an SMS invitation to the App, an order notice or a notice that your account has been activated; Anthropic Ireland, Limited (the provider of the Claude artificial intelligence model, acting as our processor under a data processing agreement — we send it an invoice file only when an authorised person at CHEMAXA requests that invoice to be read, see section 3.2 “Contractors and their representatives” — including a cost invoice or a receipt — and the text of the remarks in an enquiry or of pasted correspondence (after removing the data listed in section 3.1) only when that person requests a draft reply or a summary, see section 3.1; under the provider’s terms this data is not used to train models); providers of communication services chosen by the user (Meta Platforms — WhatsApp; telecom operators — SMS/phone); Google (for the measurement tools described in section 5, subject to consent); and public authorities and courts where required by law.
As a rule we process data within the EEA. However, the use of certain services may involve transfers to third countries (in particular the USA): Google (Website measurement tools and Firebase Cloud Messaging push notifications in the Android version), Meta Platforms (WhatsApp communication), Apple (Sign in with Apple, APNs push notifications and address autocomplete in the App) and Anthropic (AI-assisted reading of invoices, section 3.2 “Contractors and their representatives”, and AI-assisted draft replies to enquiries and summaries of correspondence pasted into the panel, section 3.1 — the provider stores data in the USA and may also process it in other countries, including outside Europe — in Asia and Australia; the transfer relies on standard contractual clauses incorporated into the data processing agreement). These providers participate in the EU–US Data Privacy Framework or rely on Standard Contractual Clauses approved by the European Commission, ensuring the level of protection required by the GDPR.
| Data category | Retention period |
|---|---|
| enquiries and correspondence not resulting in a contract | up to 3 years after the correspondence ends (defence against claims) |
| enquiries saved from the App form (leads) | deleted automatically after the retention period (2 years by default) or earlier on request |
| note of a conversation with a prospective customer (company contact details, current supplier and price, the price level discussed, note on needs) — section 3.1 | up to 2 years from the last contact and, where an objection or a deletion request is raised, without undue delay |
| e-mail address used to send periodic price-offer updates — section 3.1 | until an objection to such sending is raised, or until the note/account is deleted |
| returning-customer account in the App (company profile, price list, unloading points, order history) | until the customer deletes the account or the relationship ends; order- and invoice-related data as in the row below |
| data related to contracts, orders and invoices | the term of the contract and thereafter the period required by accounting and tax law — as a rule 5 years from the end of the year in which the tax obligation arose |
| result of AI-assisted reading of an invoice — section 3.2 “Contractors and their representatives” | in the CHEMAXA panel — together with the data of the order the invoice relates to (as in the row above); at the provider (Anthropic) the invoice file and the model’s response are deleted automatically within 30 days, longer only in the cases set out in the provider’s terms (breach of its usage rules, legal obligation) |
| result of AI-assisted reading of a cost invoice or a receipt — section 3.2 “Contractors and their representatives” | in the CHEMAXA panel — together with the cost entry it relates to, i.e. 5 years from the end of the tax year in which the cost was recorded; a reading result from which no cost entry was created — no longer than 90 days from the reading; at the provider (Anthropic) the file and the model’s response — as in the row above |
| draft reply to an enquiry and summary of correspondence pasted into the panel, prepared with the help of AI — section 3.1 | not kept — the CHEMAXA panel keeps only the reply sent by the authorised person (as enquiries and correspondence) or the note that person approved (as business contact history or order data), plus a technical record without content; at the provider (Anthropic) the text sent and the model’s response are deleted automatically within 30 days, longer only in the cases set out in the provider’s terms (breach of its usage rules, legal obligation) |
| push notification token | until notifications are disabled, the App is uninstalled, or the account is deleted |
| confirmation that a notification was opened (section 4.4) | up to 12 months from the confirmation being recorded |
| marker recording that a message on the list in the App has been read (section 4.4) | up to 12 months from the marker being recorded |
| history of notifications sent (date, content, delivery result, date the message was deleted from the list in the App — section 4.4) | until the customer’s account is deleted — as evidence that information about an order or a change of pricing was sent |
| job applicants’ data | the duration of the recruitment and, with the candidate’s consent, up to 12 months afterwards (for future recruitment) |
| data processed on the basis of consent (e.g. marketing) | until consent is withdrawn |
| measurement cookies on the Website | the lifetime of the given cookie or until consent is withdrawn |
| delivery schedules and referral links | until deleted by the customer or until the account is deleted (deleting the account removes both) |
| delivery ratings (1–5 scale with optional comment) | until the account is deleted (deleting the account removes the ratings) |
| date a review request was sent (Rzetelna Firma) | until the account is deleted |
| contact persons at a contractor (name, role, phone, e-mail, note) | until the customer’s account is deleted or the relationship ends |
| additional e-mail addresses of people handling orders at a contractor | until the address is deleted at the request of the contractor or that person, the customer’s account is deleted, or the relationship ends |
| business contact history (call notes, reminder dates) | until the customer’s account is deleted |
| archive of payment-reliability reports (KRD) — the report file together with the copy of the reading attached to that file (score, date, report number, suggested trade-credit limit) | 24 months from the report being uploaded to the system (deleted automatically together with the report file), or earlier — when the customer’s account is deleted |
| current reliability assessment on the contractor’s record (KRD score, date of the reading, report number, suggested trade-credit limit, remark), the internal payment-discipline assessment and the commercial data (payment term, credit limit, current supplier and their price, status and how the contact was acquired) | until the customer’s account is deleted or the relationship ends |
| technical data from the Website (IP address, date and time of the request, browser and operating system, pages visited — including opens of a quotation page shared by link) | up to 12 months from being recorded |
| consent log (date and time, route, identifier of the clause wording, IP address or the person who made the entry) — for consent to the National Debt Register entry and to SMS messages | together with the customer account; and where an entry was submitted to the register on the basis of that consent — for as long as the entry remains in the register and for the limitation period for claims |
| record of an unticked consent box when creating an account (date, identifier of the clause wording, no IP address) — section 3.2 | together with the customer account |
| records from account registration used to limit abuse (IP address, e-mail domain) | 2 days from being recorded (deleted automatically) |
| App crash and hang reports | 90 days from receipt (deleted automatically) |
| data stored locally in the App | until overwritten by the user or the App is uninstalled (device-only) |
You have the right to: access your data and obtain a copy; rectification; erasure (“right to be forgotten”); restriction of processing; data portability; objection to processing based on legitimate interest (including direct marketing); withdrawal of consent at any time (without affecting prior processing); and to lodge a complaint with the President of the Personal Data Protection Office (PUODO), ul. Stawki 2, 00-193 Warsaw, Poland (uodo.gov.pl).
We respond to requests without undue delay, at the latest within one month. Requests may be sent to info@chemaxa.com.
We do not make decisions based solely on automated processing that would produce legal effects concerning you or similarly significantly affect you. Ad-measurement (section 5) serves statistical and billing purposes only. AI-assisted reading of invoices (section 3.2 “Contractors and their representatives”) is not such a decision either — a person checks and approves the values read. Nor are AI-assisted draft replies to enquiries or summaries of pasted correspondence (section 3.1) — a person reads, edits and sends the draft, and records a note only after approving it.
We apply appropriate technical and organisational measures, including: encryption of data in transit (SSL/TLS — on the Website, in the App and in communication with the CHEMAXA server and external services), access control to systems and the admin panel (authentication, login-attempt limiting), the least-privilege principle (a database account with restricted permissions), protection of database queries against SQL injection, storing session tokens only as a hash, protection of configuration files and secrets, regular backups and staff training. Data stored locally in the App is protected by operating-system security mechanisms: on iOS — device encryption and the Keychain (which holds the session token); on Android — EncryptedSharedPreferences (AES-256), with backup of App data disabled.
This policy may be updated, e.g. when Website or App features or legal requirements change. The current version, with its effective date, is always available at this address.