Polityka prywatności

W skrócie. Dziennik Firm:

zakłada konto tylko wtedy, gdy sam chcesz obserwować spółki — konto to wyłącznie Twój adres e-mail, bez hasła;
nie używa ciasteczek reklamowych, a statystyki Google włącza tylko za Twoją zgodą;
komentarze trzyma na własnym serwerze i nie zapisuje adresów IP w jawnej postaci.

Opisujemy spółki z KRS, nie ludzi. Część danych spółek jest jednak także danymi osób — na przykład nazwa spółki jawnej zawiera nazwisko wspólnika. Dlatego osobno wyjaśniamy, jak je przetwarzamy: Dane osób z KRS.

1. Administrator

JG INVEST P.S.A., ul. Jana Matejki 2, 32-600 Oświęcim, KRS 0000915798, NIP 5492463888 — wydawca Dziennika Firm.

Kontakt w sprawach danych: redakcja@dziennikfirm.pl, temat „DANE OSOBOWE”, albo listownie na adres wydawcy.

Nie powołaliśmy inspektora ochrony danych — przepisy tego od nas nie wymagają. Sprawami danych zajmuje się redaktor naczelny.

2. Jakie dane, po co i na jakiej podstawie

Kiedy	Jakie dane	Cel	Podstawa (RODO)	Jak długo
Odwiedzasz stronę	adres IP, data i godzina, adres strony, przeglądarka (logi serwera)	bezpieczeństwo, wykrywanie nadużyć i błędów, liczenie odwiedzin	prawnie uzasadniony interes (art. 6 ust. 1 lit. f)	do 30 dni
Szukasz spółki spoza bazy	skrót (hash) adresu IP	limit zapytań do rejestru (20 na godzinę)	art. 6 ust. 1 lit. f	1 godzina
Szukasz spółki po numerze NIP spoza bazy	wpisany numer NIP, skrót (hash) adresu IP	ustalenie numeru KRS spółki w wykazie podatników VAT Ministerstwa Finansów (pkt 8); limit 10 takich zapytań dziennie z jednego adresu	art. 6 ust. 1 lit. f	wynik (numer KRS) 30 dni, numer bez KRS — 7 dni; skrót IP — 24 godziny
Zgadzasz się na statystyki	identyfikatory z plików cookies `_ga` i `_ga_*`, odsłony, przewijanie, czas czytania, wyszukiwania, wydajność strony	wiedza, które teksty i dane są czytane	zgoda (art. 6 ust. 1 lit. a)	dane w Google Analytics — 14 miesięcy; pliki cookies — do 14 miesięcy
Piszesz komentarz	treść, imię lub pseudonim, e-mail (jeśli podasz), data, skrót HMAC adresu IP	publikacja i moderacja dyskusji, ochrona przed spamem	art. 6 ust. 1 lit. f	komentarz — do żądania usunięcia lub zamknięcia serwisu; skrót IP — 180 dni; spam — 30 dni
Zapisujesz się na powiadomienia o odpowiedziach	e-mail, status i data potwierdzenia	wysyłka powiadomień	zgoda (art. 6 ust. 1 lit. a)	do wypisu; niepotwierdzony adres — 14 dni
Oceniasz („Pomocne”) lub zgłaszasz komentarz przyciskiem	skrót adresu IP i przeglądarki z solą zmienianą codziennie	ochrona przed nadużyciami	art. 6 ust. 1 lit. f	do 2 dni; sól zmienia się codziennie i nie jest przechowywana, więc skrótów nie da się powiązać między dniami
Wysyłasz pełne zgłoszenie treści nielegalnej (DSA)	imię i nazwisko lub nazwa, e-mail, treść zgłoszenia, decyzja	rozpatrzenie zgłoszenia, potwierdzenie i zawiadomienie o decyzji	obowiązek prawny (art. 6 ust. 1 lit. c w zw. z art. 16 aktu o usługach cyfrowych)	3 lata od decyzji
Obserwujesz spółki (konto)	e-mail, lista obserwowanych spółek (numery KRS, daty dodania), daty założenia konta i ostatniego logowania, ustawienie powiadomień, rejestr wysłanych powiadomień	prowadzenie konta i powiadomienia, o które prosisz	wykonanie usługi na Twoje żądanie (art. 6 ust. 1 lit. b); limity prób logowania i wysyłek — art. 6 ust. 1 lit. f	do usunięcia konta (szczegóły w pkt 5)
Zapisujesz się na newsletter „Dziennik Firm o 7:00”	e-mail, treść i czas zgody, adres IP przy zapisie, miejsce formularza, czas potwierdzenia, status zapisu, informacje o doręczeniu i zwrotach	wysyłka newslettera; dowód zgody i wypisu	zgoda (art. 6 ust. 1 lit. a RODO oraz art. 398 Prawa komunikacji elektronicznej); dowód zgody i wypisu — art. 6 ust. 1 lit. f	do wycofania zgody; niepotwierdzone zgłoszenia 7 dni; dowód zgody i wypisu — przez okres przedawnienia roszczeń (pkt 5a)
Łączysz aplikację lub agenta AI (OAuth)	e-mail, nazwa i adres powrotu aplikacji, zakres i data zgody, data ostatniego użycia, dziennik bezpieczeństwa	dostęp aplikacji do Twojej listy, bezpieczeństwo	art. 6 ust. 1 lit. b; bezpieczeństwo — lit. f	szczegóły w pkt 6
Piszesz do redakcji, prosisz o korektę, żądasz sprostowania	dane z korespondencji	odpowiedź, korekta, sprostowanie, obrona przed roszczeniami	art. 6 ust. 1 lit. f; przy sprostowaniu także lit. c (art. 31a–33 Prawa prasowego)	3 lata od zakończenia sprawy
Kandydujesz do pracy w redakcji	dane z CV i korespondencji	rekrutacja	art. 6 ust. 1 lit. b i c (art. 22¹ Kodeksu pracy); dane ponad wymagane — zgoda	do końca rekrutacji; za zgodą — do 12 miesięcy na przyszłe rekrutacje

Podanie danych jest dobrowolne. Bez adresu e-mail nie założymy konta i nie wyślemy powiadomień. Bez danych zgłaszającego nie rozpatrzymy pełnego zgłoszenia DSA. Szybkie zgłoszenie przyciskiem „Zgłoś” jest anonimowe.

3. Statystyki odwiedzin

Google Analytics — tylko za zgodą. Google Tag Manager (kontener GTM-T8426HXB) i Google Analytics 4 ładują się dopiero po kliknięciu „Akceptuj” w banerze. Bez zgody nie ustawiamy żadnych analitycznych plików cookies (art. 399 Prawa komunikacji elektronicznej). Sygnały reklamowe, Google Signals i personalizacja reklam są wyłączone także po zgodzie. Nie prowadzimy remarketingu.
Własne statystyki lektury — też tylko za zgodą. Po zgodzie wysyłamy do naszego serwera anonimowe zdarzenia o lekturze (głębokość przewijania, czas czytania, użycie spisu treści), bez żadnych identyfikatorów.
Liczenie odsłon bez zgody. Każda strona wysyła do naszego serwera jeden anonimowy sygnał odsłony. Nie odczytuje on niczego z Twojego urządzenia ani niczego na nim nie zapisuje — trafia tylko do logów serwera (pkt 2, pierwszy wiersz).
Zgodę wycofasz w każdej chwili linkiem „Ustawienia cookies” w stopce. Usuniemy wtedy pliki _ga. Twój wybór zapamiętuje tylko Twoja przeglądarka (localStorage: dzf_consent).
Szczegóły: Pliki cookies.

4. Komentarze

Publicznie widać tylko podane imię lub pseudonim, treść i datę. Adresu e-mail nie publikujemy. Służy do moderacji, kontaktu w sprawie komentarza, uzasadnienia decyzji moderacyjnej i — jeśli zaznaczysz tę opcję — do powiadomień o odpowiedziach.
Nie używamy Gravatara ani zewnętrznych systemów komentarzy: dane zostają na naszym serwerze.
Moderacja. Pierwszy komentarz z danego adresu zatwierdzamy ręcznie. Komentarze z numerami telefonów lub kont, linkami reklamowymi albo wulgaryzmami automatycznie trafiają do moderacji. Filtr nie podejmuje decyzji — decyduje człowiek.
Powiadomienia o odpowiedziach wysyłamy dopiero po potwierdzeniu adresu. Każde ma link do wypisania się jednym kliknięciem. To nie jest newsletter.
Usunięcie komentarza. Napisz z adresu podanego przy komentarzu i wskaż komentarz. Usuniemy go razem z Twoimi danymi.
Pamięć przeglądarki. Imię i e-mail zapamiętamy w Twojej przeglądarce (localStorage) tylko wtedy, gdy zaznaczysz „Zapamiętaj moje imię i e-mail w tej przeglądarce”. To, że oddałeś głos „Pomocne”, zapamiętuje tylko Twoja przeglądarka.

5. Konto i obserwowane spółki

Na karcie spółki możesz kliknąć „Obserwuj spółkę”. Wtedy zakładamy Ci konto: logujesz się linkiem albo kodem wysłanym na Twój adres e-mail, bez hasła. Po zamknięciu każdego wydania wysyłamy Ci e-mail z nowymi wpisami w KRS spółek z Twojej listy. Powiadomienia dotyczą wyłącznie spółek z Twojej listy — to nie jest newsletter ani reklama.
Bezpieczeństwo. Linki i kody logowania oraz sesje trzymamy wyłącznie jako skróty (HMAC) z tajnym kluczem.
Pliki cookies:
- __Host-dzf_s — sesja konta, 30 dni;
- __Host-dzf_kb — wiąże logowanie z przeglądarką, w której się zaczęło, 2 godziny.
Są niezbędne do działania konta, więc nie wymagają zgody. Nie służą do śledzenia ani statystyk.
Jak długo:
- do usunięcia konta;
- konto bez obserwowanych spółek usuwamy po 12 miesiącach od ostatniego logowania, a konto z wyłączonymi powiadomieniami — po 24 miesiącach;
- rejestr wysłanych powiadomień kasujemy po 90 dniach, nieużyte linki logowania — po dobie.
Wypis i usunięcie. Każde powiadomienie ma link, który jednym kliknięciem wyłącza e-maile. Przyciskiem „Usuń konto” na stronie konta usuniesz od razu adres, listę obserwowanych spółek i dostęp połączonych aplikacji. Potwierdzimy to jednym e-mailem.

W dni robocze rano wysyłamy e-mail z liczbami z Krajowego Rejestru Sądowego za poprzedni dzień (nowe spółki, likwidacje, upadłości), najważniejszymi wpisami — z nazwami spółek, bez danych osób — i nowymi tekstami redakcji. Wydanie może zawierać oznaczone treści reklamowe partnerów.
Zapis jest dwuetapowy. Po podaniu adresu i zaznaczeniu zgody wysyłamy jedną wiadomość z linkiem potwierdzającym, ważnym 3 dni. Dopiero kliknięcie w link aktywuje zapis. Niepotwierdzone zgłoszenia usuwamy po 7 dniach, a w wiadomości z linkiem możesz od razu usunąć swój adres.
Co zapisujemy: adres e-mail, treść i czas zgody, adres IP przy zapisie, miejsce formularza (np. stopka strony, koniec tekstu), czas potwierdzenia i status zapisu. System wysyłkowy zapisuje też, czy wiadomość doręczono albo czy wróciła jako zwrot.
Nie śledzimy otwarć ani kliknięć. Linki w wydaniu mają oznaczenie kampanii (parametry utm), więc wejście na stronę z newslettera policzymy w statystykach tylko wtedy, gdy zgodzisz się na nie w banerze (pkt 3).
Podstawa: Twoja zgoda (art. 6 ust. 1 lit. a RODO oraz art. 398 Prawa komunikacji elektronicznej). Dowód zgody i wypisu przechowujemy na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f), żeby móc wykazać, że wysyłka była zgodna z prawem.
Jak długo: do wycofania zgody; dowód zgody i wypisu — przez okres przedawnienia roszczeń.
Wypis: link na dole każdego wydania wypisuje jednym kliknięciem. Możesz też odpowiedzieć na dowolne wydanie albo napisać na redakcja@dziennikfirm.pl. Wycofanie zgody nie wpływa na zgodność z prawem wysyłek sprzed wycofania.
Kto wysyła: listę adresów prowadzimy w narzędziu NetSendo, działającym na infrastrukturze Google Cloud, a wiadomości dostarcza Twilio SendGrid — obaj jako podmioty przetwarzające (pkt 8).

6. Połączone aplikacje i agenci AI (OAuth)

Możesz pozwolić aplikacji albo agentowi AI zarządzać Twoją listą obserwowanych spółek. Robisz to sam: logujesz się linkiem z e-maila i na ekranie zgody widzisz:
- nazwę aplikacji;
- adres, na który wróci;
- zakres dostępu — odczyt listy albo także dodawanie i usuwanie spółek.
Aplikacja nie dostaje Twojego adresu e-mail, tylko token dostępu ważny godzinę i odnawialny.
Dziennik bezpieczeństwa zapisuje zdarzenia (np. wydanie tokenu, odwołanie) z pseudonimem zamiast adresu e-mail i skrótem zamiast adresu IP. Tokeny, kody i linki trzymamy wyłącznie jako skróty (HMAC).
Plik cookie __Host-dzf_oa_b (2 godziny) wiąże logowanie i zgodę z przeglądarką, w której je zacząłeś. Jest niezbędny, więc nie wymaga zgody.
Jak długo: zgoda nieużywana przez 180 dni wygasa, odwołaną usuwamy po 30 dniach; dziennik bezpieczeństwa przechowujemy 90 dni.
Odwołanie. W każdej chwili na stronie konta albo na stronie „Twoje połączone aplikacje” — link przychodzi też w e-mailu po każdym nowym połączeniu. Aplikacja traci dostęp natychmiast. Za to, co aplikacja robi z danymi, które jej udostępnisz, odpowiada jej dostawca.

7. Dane osób z rejestrów (KRS)

Na kartach spółek publikujemy dane spółek z Krajowego Rejestru Sądowego. Nie pobieramy i nie publikujemy imion, nazwisk, numerów PESEL ani adresów osób fizycznych z rejestru. Część informacji o spółkach dotyczy jednak ludzi. Nazwa spółki jawnej czy komandytowej zawiera nazwisko wspólnika. Informacja „powołano prezesa zarządu” dotyczy konkretnej osoby, którą można odnaleźć w KRS. Jak takie dane przetwarzamy, na jakiej podstawie i jak złożyć sprzeciw — wyjaśnia osobna strona: Dane osób z KRS.

W tekstach redakcyjnych możemy podawać imiona i nazwiska osób pełniących funkcje w spółkach — ze źródeł publicznych i w związku z ich działalnością zawodową. Do takiego przetwarzania stosuje się przepisy o działalności prasowej (art. 2 ust. 1 ustawy o ochronie danych osobowych oraz Prawo prasowe).

8. Komu przekazujemy dane

Hosting i poczta: ADERLO P.S.A. (KRS 0000955282, spółka powiązana z wydawcą) jako podmiot przetwarzający, na serwerach Hetzner Online GmbH w Niemczech. Nasz serwer pocztowy w Niemczech wysyła e-maile zapasowo, gdy usługa niżej jest niedostępna.
Twilio SendGrid (grupa Twilio z siedzibą w USA) jako podmiot przetwarzający — dostarcza e-maile serwisu (potwierdzenia, linki logowania, powiadomienia) i newsletter.
NetSendo — narzędzie do obsługi newslettera, działające na infrastrukturze Google Cloud, jako podmiot przetwarzający (pkt 5a).
Ministerstwo Finansów — gdy wpiszesz w wyszukiwarkę NIP spółki spoza naszej bazy, sam ten numer wysyłamy do wykazu podatników VAT (API „białej listy”), żeby ustalić numer KRS. Z odpowiedzi bierzemy tylko numer KRS.
Google Ireland Limited — tylko po Twojej zgodzie na statystyki. Dane mogą trafić do Google LLC w USA na podstawie decyzji o adekwatności (EU-US Data Privacy Framework).
Organy publiczne — gdy wymaga tego prawo (np. sąd, prokuratura, organy ścigania przy zgłoszeniach z art. 18 aktu o usługach cyfrowych).

Część dostawców (Twilio SendGrid, Google) to podmioty z grup mających siedzibę w USA. Jeżeli w związku z tym dane trafiają poza Europejski Obszar Gospodarczy, odbywa się to na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) albo standardowych klauzul umownych.

Nie sprzedajemy danych i nie przekazujemy ich reklamodawcom. Danych konta i adresów z newslettera nie przekazujemy nikomu poza podmiotami przetwarzającymi, chyba że sam połączysz aplikację (pkt 6).

9. Twoje prawa

Masz prawo do:

dostępu do danych i otrzymania ich kopii;
sprostowania danych;
usunięcia danych;
ograniczenia przetwarzania;
przenoszenia danych, które przetwarzamy na podstawie zgody lub umowy;
sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu — z przyczyn związanych z Twoją szczególną sytuacją;
wycofania zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania sprzed wycofania;
skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Na żądania odpowiadamy w ciągu miesiąca. W szczególnych przypadkach termin może się wydłużyć o kolejne 2 miesiące — wtedy o tym poinformujemy. Jeśli nie będziemy pewni, że żądanie składa osoba, której dane dotyczą, poprosimy o dodatkowe informacje.

10. Bezpieczeństwo

Połączenie z serwisem jest szyfrowane (HTTPS).
Adresów IP nie zapisujemy w jawnej postaci poza logami serwera.
Tokeny, kody i linki logowania przechowujemy tylko jako skróty.
Dostęp do panelu i danych mają tylko upoważnione osoby.
Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne, i nie profilujemy czytelników.

11. Zmiany

O zmianach polityki informujemy na tej stronie, podając datę wersji. Istotne zmiany ogłaszamy też na stronie głównej, a osobom z kontem — e-mailem.

Wersja 2.2 z 6 listopada 2026 r.: newsletter „Dziennik Firm o 7:00” (pkt 5a), dostawcy poczty i newslettera, wyszukiwanie po NIP (pkt 2 i 8). Poprzednia: 2.1 z 6 listopada 2026 r.