Polityka prywatności PowerOnline
Wersja z dnia 2026-10-12.
1. Administrator
Administratorem danych osobowych jest Orion Paweł Kowalczyk, ul. Sarnia 2/37, 61-058 Poznań, NIP 8521806371 („Administrator”). Kontakt: pawel@poweronline.pl. Administrator nie wyznaczył inspektora ochrony danych.
2. Zakres i źródło danych
Platforma jest przeznaczona dla przedsiębiorców. Przetwarzamy dane osobowe:
- Użytkowników (osób działających w imieniu Organizacji): imię i nazwisko, służbowy adres e-mail, numer telefonu (jeżeli został podany przy rejestracji), rola w Organizacji, identyfikator konta, dane logowania (hasło w postaci skrótu kryptograficznego), adres IP i dane techniczne sesji, a przy rejestracji Organizacji — wersja Regulaminu zaakceptowanego przez rejestrującego i chwila akceptacji (zapisywane przy Organizacji).
- Osób wskazanych w dokumentach wgranych przez Odbiorcę (faktury za energię, profile zużycia): dane mogą obejmować imię i nazwisko osoby kontaktowej, adres punktu poboru, numer PPE, a także nazwę sprzedawcy energii, jeżeli jest nim osoba fizyczna prowadząca działalność gospodarczą.
Dane pochodzą od Użytkownika rejestrującego Organizację, od Organizacji, na której wniosek Operator dodaje kolejnych Użytkowników, oraz z dokumentów wgranych na Platformę. Dane o koncesji Sprzedawcy weryfikujemy w publicznym rejestrze Urzędu Regulacji Energetyki.
3. Cele i podstawy prawne
| Cel | Podstawa prawna (RODO) | Okres |
|---|---|---|
| Prowadzenie konta i świadczenie usługi Platformy | art. 6 ust. 1 lit. b — umowa | do usunięcia konta |
| Udokumentowanie akceptacji Regulaminu przy rejestracji (wersja i chwila akceptacji) | art. 6 ust. 1 lit. b oraz f — zawarcie umowy i wykazanie jej warunków | do usunięcia konta Organizacji |
| Weryfikacja Sprzedawcy (koncesja URE) | art. 6 ust. 1 lit. b oraz f — bezpieczeństwo obrotu | do usunięcia konta |
| Prowadzenie Postępowań, ocena Ofert, rozstrzygnięcie, przekazanie kontaktu | art. 6 ust. 1 lit. b | do usunięcia konta; dane rozstrzygnięć — pkt 6 |
| Odczyt danych z faktur za energię (automatyczne rozpoznawanie treści) | art. 6 ust. 1 lit. b | do usunięcia konta (patrz pkt 6) |
| Powiadomienia e-mail o zdarzeniach w Postępowaniach i zapytania o wynik Postępowania po rozstrzygnięciu | art. 6 ust. 1 lit. b oraz f — wykonanie usługi i wykrywanie transakcji nieraportowanych | do usunięcia konta |
| Rozliczenie wynagrodzenia od Sprzedawców | art. 6 ust. 1 lit. b i c — obowiązki podatkowe | 5 lat od końca roku podatkowego, a w razie sporu do przedawnienia roszczeń (pkt 6) |
| Bezpieczeństwo, dziennik zdarzeń, ograniczenia liczby żądań | art. 6 ust. 1 lit. f — bezpieczeństwo Platformy | dziennik zdarzeń: do usunięcia konta Organizacji (pkt 6); liczniki ograniczeń liczby żądań są przypisane do Organizacji, nie do osoby, i obejmują okno jednej godziny |
| Ustalenie, dochodzenie i obrona roszczeń | art. 6 ust. 1 lit. f | do przedawnienia roszczeń |
| Obsługa reklamacji i korespondencji | art. 6 ust. 1 lit. f | do zakończenia sprawy + okres przedawnienia |
| Statystyka odwiedzin i pomiar wydajności strony (bez plików cookie, pkt 9) | art. 6 ust. 1 lit. f — rozwój i utrzymanie Platformy | identyfikator odwiedzin: 24 godziny; dalej wyłącznie dane zbiorcze |
| Statystyka odwiedzin w Google Analytics (pliki cookie, pkt 9) | art. 6 ust. 1 lit. a — zgoda | do wycofania zgody; dane na poziomie zdarzeń w Google Analytics: 2 miesiące |
| Pomiar skuteczności reklam Google Ads — czy wizyta z kliknięcia reklamy zakończyła się założeniem konta (pliki cookie oraz, przy założeniu konta, skrót SHA-256 adresu e-mail i telefonu — konwersje rozszerzone, pkt 9) | art. 6 ust. 1 lit. a — zgoda (odrębna od zgody na statystykę) | do wycofania zgody; pliki cookie Google Ads: 90 dni; dane przekazane do Google Ads — według zasad Google (pkt 4) |
O każdej rejestracji Organizacji Administrator otrzymuje wiadomość e-mail z nazwą, rodzajem i NIP-em Organizacji oraz imieniem i nazwiskiem, adresem e-mail i numerem telefonu rejestrującego — w celu weryfikacji i obsługi nowego konta (art. 6 ust. 1 lit. b oraz f RODO).
Nie prowadzimy marketingu bezpośredniego ani profilowania w rozumieniu art. 22 RODO. Pomiar skuteczności reklam nie służy do personalizacji reklam ani do remarketingu. Ranking Ofert jest obliczany automatycznie z danych handlowych Organizacji i nie wywołuje skutków prawnych wobec osób fizycznych; decyzję o wyborze Oferty podejmuje Odbiorca.
4. Odbiorcy danych i podmioty przetwarzające
Dane powierzamy dostawcom infrastruktury działającym na nasze polecenie. Z dostawcami Supabase, Vercel, Resend i OpenRouter wiąże nas umowa powierzenia przetwarzania (DPA) będąca częścią warunków świadczenia usług dostawcy. Przetwarzanie danych w Google Analytics obejmują Zasady przetwarzania danych w usługach reklamowych Google, zaakceptowane dla naszego konta Google Analytics. Dane przekazane do Google Ads w ramach pomiaru skuteczności reklam Google przetwarza także we własnym imieniu, jako odrębny administrator, na zasadach ochrony danych Google Ads i polityki prywatności Google (https://policies.google.com/privacy):
| Podmiot | Rola | Lokalizacja | Podstawa transferu |
|---|---|---|---|
| Supabase Pte. Ltd. (Singapur), a przy zakupie usługi przez marketplace dostawcy chmury — Supabase, Inc. (USA) | baza danych, uwierzytelnianie, przechowywanie plików | serwery w UE (Frankfurt, AWS eu-central-1) | dane przechowywane w UE; dostęp dostawcy spoza EOG — standardowe klauzule umowne zawarte w DPA |
| Vercel Inc. | hosting aplikacji, uruchamianie kodu, statystyka odwiedzin i pomiar wydajności strony (Vercel Web Analytics, Speed Insights) | USA / UE | standardowe klauzule umowne, EU-US DPF |
| Google Ireland Limited (Google Analytics); dostawca może przekazywać dane Google LLC | statystyka odwiedzin — wyłącznie po zgodzie | UE / USA | EU-US DPF |
| Google Ireland Limited (Google Ads); dostawca może przekazywać dane Google LLC | pomiar skuteczności reklam (konwersji) — po zgodzie na marketing, w tym skrót SHA-256 adresu e-mail i telefonu przy założeniu konta (konwersje rozszerzone); przy zgodzie wyłącznie na statystykę tylko sygnały bez plików cookie i identyfikatorów (pkt 9) | UE / USA | EU-US DPF |
| Resend Inc. | wysyłka wiadomości e-mail | USA | standardowe klauzule umowne, EU-US DPF |
| OpenRouter, Inc. oraz, jako jego dalsi przetwarzający, wyłącznie dostawcy modeli w chmurze Google (Vertex AI) i Microsoft (Azure) | automatyczny odczyt treści faktur za energię | USA / UE | standardowe klauzule umowne zawarte w DPA |
Plik wgranej faktury jest przekazywany dostawcy modelu językowego wyłącznie w celu odczytu danych punktu poboru i umowy: numeru PPE, nazwy sprzedawcy i operatora sieci, grupy taryfowej, mocy umownej, okresu rozliczeniowego, zużycia, cen i opłat, daty końca umowy i okresu wypowiedzenia. Platforma nie odczytuje z faktury imienia, nazwiska ani adresu Odbiorcy, osoby kontaktowej ani adresu punktu poboru. Nazwę sprzedawcy energii odczytuje i zapisuje tak, jak widnieje na fakturze — jeżeli sprzedawcą jest osoba fizyczna prowadząca działalność gospodarczą, nazwa ta może zawierać jej imię i nazwisko. Żądanie trafia wyłącznie do punktów dostępu Google (Vertex AI) albo Microsoft (Azure), które OpenRouter oznacza jako niezatrzymujące przesłanych danych (zero data retention) i niewykorzystujące ich do trenowania modeli. Gdy żaden taki punkt nie jest dostępny, plik nie jest wysyłany, a odczyt zostaje ponowiony później.
Faktura może zawierać dane osoby fizycznej, w szczególności przedsiębiorcy prowadzącego jednoosobową działalność gospodarczą (imię i nazwisko, adres). Takie faktury przyjmujemy. Dane te przetwarzamy wyłącznie w opisanym wyżej celu odczytu: wobec Odbiorcy będącego osobą fizyczną na podstawie art. 6 ust. 1 lit. b RODO (wykonanie umowy), a wobec innych osób wskazanych na fakturze na podstawie art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: przygotowanie Postępowania na zlecenie Odbiorcy).
Ponadto dane udostępniamy:
- innym uczestnikom Postępowania w zakresie opisanym w Regulaminie: po zamknięciu zbierania Ofert Odbiorca poznaje nazwy Sprzedawców, a po rozstrzygnięciu wybrany Sprzedawca otrzymuje dane kontaktowe Odbiorcy i adresy punktów poboru. Od chwili ich otrzymania wybrany Sprzedawca przetwarza te dane jako odrębny administrator, w celu zawarcia i wykonania umowy z Odbiorcą, i sam odpowiada za ich przetwarzanie;
- organom publicznym, gdy wymaga tego prawo.
5. Dane statystyczne (benchmark)
Z każdej złożonej Oferty tworzymy zapis statystyczny (segment, typ produktu, okres dostaw, cena porównywalna, przedział wolumenu). Zapis nie zawiera nazw Organizacji, danych Użytkowników ani punktów poboru. Sprzedawca jest w nim oznaczony skrótem kryptograficznym z tajnym kluczem Operatora; skrót ma charakter pseudonimizacji — Operator może go powiązać z Organizacją Sprzedawcy wyłącznie w celu wykluczenia zbyt mało licznych segmentów z publikacji. Zapisy nie zawierają danych osób fizycznych. Statystyki są publikowane wyłącznie dla segmentów obejmujących co najmniej 5 obserwacji od co najmniej 3 różnych Sprzedawców. Zapisy te nie są usuwane wraz z kontem.
6. Okres przechowywania
- Dane konta i Organizacji: do usunięcia konta (pkt 7).
- Faktury i pliki profili zużycia: do usunięcia konta Organizacji. Plik profilu zużycia zastąpiony nowym plikiem jest usuwany. Platforma nie usuwa plików automatycznie po upływie określonego czasu i nie udostępnia Użytkownikowi funkcji usunięcia pojedynczego pliku; usunięcia pliku można zażądać na adres kontaktowy Administratora.
- Dane rozstrzygniętych Postępowań i rozliczeń wynagrodzenia (Postępowanie, wybrana Oferta, rozstrzygnięcie, rozliczenie): nie są usuwane wraz z kontem, a Organizacja będąca stroną rozstrzygnięcia nie jest usuwana z Platformy (pkt 7). Przechowujemy je przez okres obowiązków podatkowych (5 lat od końca roku podatkowego) i do przedawnienia roszczeń z rozstrzygnięcia i Umowy ramowej. Platforma nie usuwa tych danych automatycznie.
- Powiadomienia e-mail i stan ich doręczenia: do usunięcia konta Użytkownika albo Postępowania, którego dotyczą.
- Dziennik zdarzeń (audit log): rejestruje zmiany danych wraz z identyfikatorem konta i adresem IP; nie ma automatycznego terminu usunięcia. Przy usunięciu konta Organizacji wpisy dotyczące jej danych są wymazywane w tej samej operacji. Wpisy o czynnościach Użytkownika w danych innej Organizacji pozostają w dzienniku tych danych.
- Dzienniki techniczne dostawców infrastruktury (Supabase, Vercel): przez okres określony w warunkach usług tych dostawców.
7. Prawa osób, których dane dotyczą
Przysługuje Państwu prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia (w zakresie danych przetwarzanych na podstawie umowy) oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie. Żądania prosimy kierować na adres kontaktowy Administratora. Odpowiadamy w terminie miesiąca.
Zgodę na statystykę (Google Analytics) i zgodę na marketing (Google Ads) można wycofać w każdej chwili, każdą osobno, odnośnikiem „Ustawienia cookie” w stopce każdej strony — tak samo łatwo, jak się ją wyraża. Wycofanie zgody na statystykę wycofuje też zgodę na marketing (pkt 9). Wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.
Żądanie usunięcia konta i danych Organizacji rozpatruje Administrator po weryfikacji tożsamości i uprawnień zgłaszającego; Sprzedawca może je zgłosić także w Platformie, w profilu Sprzedawcy. Zgłoszenie nie usuwa danych automatycznie. Jeżeli Organizacja była stroną rozstrzygnięcia (jako Odbiorca albo Sprzedawca, którego Oferta została wybrana), Postępowanie, wybrana Oferta, rozstrzygnięcie i rozliczenie wynagrodzenia są zachowywane w zakresie niezbędnym do wykonania Umowy ramowej oraz ustalenia, dochodzenia i obrony roszczeń (art. 17 ust. 3 lit. e RODO), a zakres usunięcia pozostałych danych, w tym dostępu Użytkowników, Administrator ustala indywidualnie.
Mają Państwo prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.
8. Dobrowolność podania danych
Podanie danych jest dobrowolne, ale niezbędne do zawarcia i wykonania umowy o korzystanie z Platformy. Bez adresu e-mail i danych Organizacji nie jest możliwe założenie konta.
9. Pliki cookie
Niezbędne. Utrzymanie sesji zalogowanego Użytkownika (Supabase Auth) i ochrona przed nadużyciami. W pamięci przeglądarki (localStorage) zapisujemy też same decyzje w sprawie zgód na statystykę i marketing, żeby nie pytać przy każdej wizycie. Te dane nie wymagają zgody — informujemy o nich.
Analityczne — tylko za zgodą. Po wyrażeniu zgody w banerze na stronie ładujemy Google Analytics 4, który zapisuje pliki cookie _ga i _ga_<identyfikator> (ważne do 2 lat). Służą do rozpoznania powracającego odwiedzającego i zliczenia odwiedzin: które strony są czytane, skąd przychodzą odwiedzający, na jakim urządzeniu; trafiają tam też zdarzenia opisane niżej (kliknięcie przycisku rejestracji, założenie konta z rodzajem konta). Adres strony trafia do Google Analytics w tej samej oczyszczonej postaci, co opisana niżej dla Vercel Web Analytics (z wyjątkiem identyfikatora kliknięcia reklamy — tylko po zgodzie na marketing, niżej). Google Signals i personalizacja reklam są wyłączone zawsze. Bez zgody na marketing Google nie zapisuje reklamowych plików cookie i nie otrzymuje identyfikatora kliknięcia reklamy, a zgoda na cele reklamowe jest mu przekazywana jako odmówiona. Tag Google na stronie jest połączony z kontem Google Ads, więc także przy zgodzie wyłącznie na statystykę przekazuje Google Ads sygnały o odsłonach i zdarzeniach — bez plików cookie i bez identyfikatorów: oczyszczony adres strony, informację o odmowie zgód reklamowych i dane techniczne żądania, w tym adres IP. Według dostawcy Google Analytics nie zapisuje adresów IP użytkowników z UE — używa ich tylko do ustalenia przybliżonej lokalizacji i od razu odrzuca. Bez zgody Google Analytics nie jest wczytywany, a wycofanie zgody usuwa jego pliki cookie z przeglądarki.
Marketingowe (pomiar skuteczności reklam) — tylko za odrębną zgodą. Zgoda na marketing pozwala sprawdzić, czy wizyta z kliknięcia naszej reklamy w Google zakończyła się założeniem konta. Wymaga zgody na statystykę, bo założenie konta przekazuje do Google Ads Google Analytics (konto Google Analytics jest połączone z kontem Google Ads); bez zgody na statystykę nie da się jej wyrazić. Po wyrażeniu zgody tag Google zapisuje pliki cookie Google Ads: _gcl_au (ważny 90 dni), a jeżeli wejście nastąpiło z kliknięcia reklamy — także _gcl_aw z identyfikatorem tego kliknięcia (ważny 90 dni), a w pamięci przeglądarki (localStorage) wpis _gcl_ls z tymi samymi danymi kliknięcia; Google Analytics może zapisać też _gac_<identyfikator> z danymi kampanii Google Ads (ważny 90 dni). Adres strony wysyłany do Google Analytics zachowuje wtedy identyfikator kliknięcia reklamy (gclid, gbraid albo wbraid) i zbiorcze oznaczenie kampanii Google Ads (gad_source, gad_campaignid), ograniczone do wartości o kształcie nadawanym przez Google. Jeżeli zgodę wyrażono już po przejściu na inną stronę serwisu, identyfikator kliknięcia z adresu strony wejścia — do tej chwili przechowywany wyłącznie w pamięci otwartej karty przeglądarki — jest dołączany do pierwszej odsłony po zgodzie. Kliknięcie, przy którym odmówiono zgody na marketing, jest usuwane z adresu strony i nie jest przekazywane także po późniejszej zgodzie w tej samej karcie. Do Google Ads trafiają: identyfikator kliknięcia reklamy, odwiedzane strony (adres w tej samej oczyszczonej postaci co dla Google Analytics), informacja, czy po kliknięciu założono konto, z rodzajem konta (Odbiorca lub Sprzedawca), a także dane techniczne przeglądarki i urządzenia, w tym adres IP.
Konwersje rozszerzone (tylko przy zgodzie na marketing). W chwili założenia konta (Odbiorcy albo Sprzedawcy) przekazujemy Google Ads — Google Ireland Limited (pkt 4) — adres e-mail Użytkownika zakładającego konto, a jeżeli podał przy rejestracji numer telefonu — także ten numer, wyłącznie w postaci skrótu SHA-256. Skrót powstaje na naszym serwerze z adresu zapisanego małymi literami i numeru w formacie międzynarodowym (np. +48…); sam adres ani numer nie są przesyłane do Google. Google porównuje skrót ze skrótami danych osób zalogowanych w swoich usługach, żeby przypisać założenie konta do kliknięcia reklamy i dokładniej zmierzyć skuteczność reklam (konwersje rozszerzone, ang. enhanced conversions). Skrót danych osobowych nadal jest daną osobową. Podstawa prawna: zgoda (art. 6 ust. 1 lit. a RODO) — ta sama zgoda na marketing. Imienia i nazwiska, nazwy firmy, numeru NIP, adresu ani innych danych z formularzy nie przekazujemy, a automatyczne wykrywanie danych w formularzach przez tag Google jest wyłączone. Dane nie służą do remarketingu ani personalizacji reklam. Bez zgody na marketing skrót nie jest tworzony ani wysyłany. Zgodę można wycofać w każdej chwili („Ustawienia cookie” w stopce); wycofanie nie wpływa na zgodność z prawem przekazania dokonanego przed wycofaniem.
Nie prowadzimy remarketingu ani personalizacji reklam (sygnał ad_personalization jest zawsze odmówiony) i nie tworzymy list odbiorców reklam. Poza skrótem opisanym wyżej nie przekazujemy do Google adresu e-mail, telefonu ani innych danych z formularzy. Bez zgody na marketing Google Analytics działa jak opisano wyżej, a pliki cookie Google Ads nie są zapisywane. Wycofanie zgody na marketing (albo na statystykę) usuwa z przeglądarki pliki cookie _gcl_* i _gac_* oraz wpis _gcl_ls; danych przekazanych wcześniej do Google nie usuwa — o ich usunięcie można zwrócić się do Google.
Bez plików cookie. Statystykę odwiedzin i pomiar wydajności strony prowadzimy też narzędziami Vercel Web Analytics i Vercel Speed Insights. Nie zapisują one plików cookie ani innych danych w urządzeniu Użytkownika. Odwiedziny są rozpoznawane skrótem tworzonym przez dostawcę z danych żądania; skrót jest odrzucany po 24 godzinach i nie jest wiązany z kontem Użytkownika. Do statystyki trafiają: adres odwiedzonej strony (identyfikatory, np. Postępowań, są w nim zastępowane znacznikiem, a parametry adresu usuwane — poza oznaczeniem kampanii utm_*, ograniczonym do krótkiej etykiety z liter, cyfr i znaków ._-, oraz rodzajem zakładanego konta; identyfikator kliknięcia reklamy jest usuwany zawsze), strona odsyłająca, przybliżona lokalizacja (kraj, region, miasto), rodzaj urządzenia, system i przeglądarka, a także zdarzenia: kliknięcie przycisku rejestracji i założenie konta, z rodzajem konta (Odbiorca lub Sprzedawca). Pomiar wydajności obejmuje czasy ładowania i reakcji strony. Wyniki oglądamy wyłącznie w postaci zbiorczej.
10. Bezpieczeństwo
Dane są przesyłane wyłącznie połączeniami szyfrowanymi (TLS). Dostęp do danych w bazie jest ograniczony na poziomie wierszy do własnej Organizacji. Pliki faktur i profili zużycia przechowujemy w prywatnym magazynie plików; dostęp do nich mają wyłącznie Użytkownicy Organizacji, która je wgrała, oraz Operator. W Platformie fakturę pobiera się przez odnośnik podpisany, ważny 5 minut; Platforma nie oferuje pobierania plików profili zużycia. Hasła są przechowywane w postaci skrótów. Zmiany danych (utworzenie, modyfikacja, usunięcie) są rejestrowane w dzienniku zdarzeń; odczyty danych przez administratora Platformy nie są rejestrowane.
11. Zmiany Polityki
O zmianach Polityki informujemy pocztą elektroniczną oraz na Platformie. Aktualna wersja jest zawsze dostępna pod adresem https://www.poweronline.pl/polityka-prywatnosci.
Data ostatniej aktualizacji: 2026-10-12.