Informacja o przetwarzaniu danych z rejestru REGON/GUS

Niniejszy dokument opisuje zasady pobierania, przetwarzania, przechowywania oraz prezentowania przez DataPort.pl danych pochodzących z rejestru REGON prowadzonego przez Główny Urząd Statystyczny.

Dokument dotyczy w szczególności sytuacji, w których dane znajdujące się w rejestrze REGON dotyczą osób fizycznych prowadzących działalność gospodarczą.

Administratorem danych przetwarzanych w ramach DataPort.pl jest:

INBLINK sp. z o.o.
ul. Andrzeja Małkowskiego 30/1
70-304 Szczecin
NIP: 8522690077
KRS: 0001012878
REGON: 524157115

Kontakt w sprawach dotyczących DataPort.pl oraz ochrony danych: kontakt@dataport.pl

Dane prezentowane przez DataPort.pl pochodzą z urzędowego rejestru REGON prowadzonego przez Główny Urząd Statystyczny.

DataPort korzysta z oficjalnej usługi API GUS BIR 1.1. Pobranie podmiotu odbywa się operacją wyszukiwania DaneSzukajPodmioty, przede wszystkim po numerze NIP. Ta sama operacja może zostać wykonana po numerze REGON przy synchronizacji wewnętrznej.

DataPort nie pobiera pełnego raportu BIR. Nie pozyskuje danych przedsiębiorców z prywatnych baz danych ani nie uzupełnia danych REGON informacjami dotyczącymi ich życia prywatnego.

Gdy GUS zwróci kilka rekordów z tym samym numerem NIP, zapisywany jest pierwszy z nich.

Zakres danych zależy od odpowiedzi wyszukiwania GUS dla danego podmiotu. Z tej odpowiedzi DataPort zapisuje w szczególności:

• nazwę podmiotu, a w przypadku osoby fizycznej prowadzącej działalność gospodarczą — imię i nazwisko ujawnione w tej nazwie,
• numer NIP,
• numer REGON,
• adres związany z działalnością: województwo, powiat, gminę, miejscowość, kod pocztowy, ulicę, numer budynku, numer lokalu oraz miejscowość poczty, jeżeli te pola występują w odpowiedzi,
• datę zakończenia działalności, jeżeli rejestr ją zwraca,
• status działalności ustalany na podstawie statusu NIP i daty zakończenia (m.in. aktywna, zawieszona, zakończona, w likwidacji, w upadłości),
• typ podmiotu i identyfikator silosu, jeżeli występują w odpowiedzi,
• pełną treść odpowiedzi wyszukiwania, przechowywaną jako dane źródłowe synchronizacji.

W przypadku osoby fizycznej prowadzącej działalność gospodarczą adres ujawniony w rejestrze jako adres związany z działalnością może jednocześnie stanowić jej miejsce zamieszkania.

Bieżące wyszukiwanie nie zwraca kodów PKD, formy prawnej, adresu e-mail, telefonu, strony internetowej ani dat rozpoczęcia, zawieszenia i wznowienia działalności. Struktura bazy ma pola na część tych informacji i zostałyby one zapisane, gdyby pojawiły się w odpowiedzi. Usługa wyszukiwania, z której korzysta DataPort, ich nie przekazuje, więc nie są one pobierane ani pokazywane użytkownikom.

Publiczna wyszukiwarka pokazuje nazwę, NIP, REGON, adres i status działalności. API zwraca nazwę, NIP, REGON, adres oraz datę zakończenia działalności, jeżeli została zapisana. API nie zwraca statusu działalności.

Dane z rejestru REGON są przetwarzane w celu:

• umożliwienia użytkownikom identyfikacji i weryfikacji podmiotów gospodarczych,
• prezentowania danych pochodzących z oficjalnego rejestru,
• zapewnienia działania API DataPort.pl, funkcji batch, wyszukiwarki w panelu użytkownika oraz innych usług opartych na danych REGON,
• monitorowania zmian danych rejestrowych podmiotów wskazanych przez użytkownika posiadającego konto,
• synchronizacji i aktualizacji danych z rejestrem GUS,
• ograniczenia liczby połączeń z usługą GUS i skrócenia czasu odpowiedzi poprzez pamięć podręczną,
• diagnostyki działania systemu, wykrywania błędów oraz zapewnienia bezpieczeństwa i ciągłości działania usług.

Podstawą przetwarzania danych osób fizycznych prowadzących działalność gospodarczą jest art. 6 ust. 1 lit. f RODO, tj. prawnie uzasadniony interes Administratora oraz użytkowników DataPort.pl.

Prawnie uzasadniony interes obejmuje w szczególności:

• zapewnienie dostępu do aktualnych i wiarygodnych danych rejestrowych przedsiębiorców,
• możliwość identyfikacji i weryfikacji kontrahentów oraz innych podmiotów gospodarczych,
• zapewnienie kompletności i wiarygodności wyników wyszukiwania,
• umożliwienie technicznego dostępu do danych REGON poprzez API i inne funkcjonalności DataPort,
• zapewnienie bezpieczeństwa, wydajności oraz prawidłowego działania systemu.

Przy określaniu zakresu przetwarzania Administrator uwzględnia również prawa i interesy osób fizycznych, których dane znajdują się w publicznym rejestrze.

DataPort zapisuje pobrany podmiot w bazie firm i używa tego zapisu jako pamięci podręcznej. Ma to ograniczyć liczbę połączeń z usługą GUS oraz skrócić czas odpowiedzi. Zapis nie wygasa sam po upływie doby ani tygodnia. Zostaje zastąpiony nowszą odpowiedzią GUS albo — w sytuacji opisanej niżej — przestaje być pokazywany.

Wiek danych liczony jest od ostatniej synchronizacji z GUS, a gdy jej brakuje — od daty ostatniej zmiany rekordu. Przy kolejnym wyszukaniu tego samego NIP-u:

• dane młodsze niż 24 godziny są zwracane z bazy, bez nowego zapytania do GUS,
• dane mające od 24 godzin do mniej niż 7 dni są zwracane z bazy, a odświeżenie z GUS jest zlecane w tle, do kolejki zadań,
• dane mające co najmniej 7 dni są pobierane z GUS od razu, a zapis w bazie jest nadpisywany.

Jeżeli GUS nie znajduje numeru, DataPort może zapisać techniczny znacznik braku podmiotu. Przez kolejne 7 dni wyszukanie tego numeru kończy się informacją, że podmiotu nie ma w rejestrze, bez ponawiania zapytania. Po tym czasie następuje kolejne sprawdzenie w GUS.

Jeżeli GUS przestaje zwracać podmiot, który był już zapisany, dotychczasowy rekord jest oznaczany jako usunięty i nie jest już prezentowany. Nie jest automatycznie trwale kasowany z bazy.

Nie ma harmonogramu, który odświeżałby całą bazę firm. Nowsza wersja z rejestru pojawia się przy następnym wyszukaniu, według progów opisanych wyżej. Firmy dodane do monitoringu są sprawdzane raz dziennie, z użyciem tych samych progów pamięci podręcznej.

Pamięć podręczna przechowuje aktualny obraz danych rejestrowych. Nie służy do odtwarzania życia prywatnego osoby ani historii jej aktywności poza rejestrem. Gdy podczas synchronizacji zmieni się nazwa lub numer NIP, zapisywany jest osobny wpis z poprzednią i nową wartością. Ten wpis nie jest automatycznie usuwany. Monitoring prowadzony dla użytkownika z kontem przechowuje bieżący obraz wybranych pól (nazwa, status, adres, KRS, PKD, forma prawna — w zakresie, w jakim te pola są zapisane) oraz listę wykrytych zmian tych pól.

Publiczna wyszukiwarka nie prowadzi osobnej historii numerów NIP wyszukiwanych przez użytkowników. Wejście na stronę wyszukiwarki jest zapisywane jako: adres IP, identyfikator przeglądarki, informacja czy w adresie był parametr NIP (bez samego numeru) oraz czas wejścia. Te wpisy są automatycznie usuwane po 12 miesiącach.

Statystyka odwiedzin serwisu zapisuje adresy odwiedzanych stron z zamaskowanymi wartościami parametrów NIP, REGON i KRS, więc wyszukiwany numer nie trafia do tej statystyki. Wpisy statystyki są usuwane po 13 miesiącach.

Przy pobraniu podmiotu z GUS log aplikacji zawiera numer NIP. Po przekroczeniu limitu publicznej wyszukiwarki (10 wyszukań na 12 godzin z jednego adresu IP) log aplikacji zawiera adres IP, identyfikator przeglądarki oraz pełny adres strony, w którym jest wyszukiwany NIP.

Przy zapytaniu API o jeden NIP log aplikacji zawiera ten numer, adres e-mail konta, skrócony identyfikator klucza API, pełny adres URL i referer. Zapytanie zbiorcze (batch) nie zapisuje w tym logu listy NIP-ów.

Szczegółowy zapis zapytania API do bazy (ścieżka, parametry żądania, adres IP, identyfikator przeglądarki, kod odpowiedzi, czas obsługi oraz fragment treści odpowiedzi do 1000 znaków) powstaje tylko wtedy, gdy szczegółowe logowanie API jest włączone. Domyślnie jest wyłączone. Przy włączonym logowaniu treść żądania batch może zawierać listę NIP-ów. Takie zapisy są usuwane po 90 dniach.

API oraz sprawdzanie batchowe zwiększają na rekordzie firmy licznik odsłon i zapisują czas ostatniej odsłony. Licznik nie zawiera informacji, kto wykonał zapytanie. Publiczna wyszukiwarka tego licznika nie zwiększa.

Log aplikacji jest zapisywany w plikach dziennych, które są automatycznie usuwane po 30 dniach.

Dane pobierane z rejestru REGON mogą być prezentowane:

• użytkownikom publicznej wyszukiwarki DataPort.pl,
• użytkownikom korzystającym z API DataPort.pl,
• użytkownikom funkcji batch, monitoringu, wyszukiwarki w panelu oraz innych funkcjonalności DataPort wykorzystujących dane rejestrowe.

W zakresie niezbędnym do technicznej obsługi serwisu dane mogą być również przetwarzane przez podmioty świadczące na rzecz Administratora usługi:

• hostingowe i serwerowe,
• infrastruktury sieciowej,
• bezpieczeństwa systemów informatycznych,
• kopii zapasowych,
• monitoringu i diagnostyki aplikacji,
• utrzymania infrastruktury IT.

Numer NIP albo REGON będący przedmiotem aktualizacji jest przekazywany do systemu GUS w celu wyszukania właściwego podmiotu w rejestrze REGON.

DataPort przetwarza dane w zakresie potrzebnym do identyfikacji i weryfikacji podmiotów gospodarczych oraz do działania technicznego usługi.

Administrator nie prowadzi w ramach publicznej wyszukiwarki historii łączącej osobę wyszukującą z konkretnym numerem NIP. Techniczne sytuacje, w których numer NIP może pojawić się w logu razem z adresem IP, opisuje punkt 7.

W uzasadnionych indywidualnych przypadkach Administrator może również zastosować dodatkowe ograniczenia dotyczące prezentowania określonych informacji, jeżeli z przeprowadzonej oceny wynika, że jest to właściwy środek służący ochronie praw lub prywatności osoby fizycznej.

DataPort korzysta z danych pochodzących z rejestru REGON i przy synchronizacji nadpisuje zapis odpowiedzią GUS. Nie wprowadza własnych poprawek merytorycznych do treści rejestru.

Zmiana w rejestrze źródłowym nie jest pobierana w sposób ciągły. Aktualna wersja zostanie pobrana przy kolejnym wyszukaniu, według progów z punktu 6: od razu, gdy zapis ma co najmniej 7 dni; w tle, gdy ma od 24 godzin do mniej niż 7 dni; w ogóle nie, gdy jest młodszy niż 24 godziny. Sprawdzenie firm objętych monitoringiem odbywa się raz dziennie i podlega tym samym progom.

W przypadku stwierdzenia rozbieżności można skontaktować się z DataPort w celu sprawdzenia zapisu lub zlecenia ponownej synchronizacji. W serwisie nie ma samodzielnego przycisku wymuszającego odświeżenie.

Jeżeli nieprawidłowa informacja znajduje się również w rejestrze REGON, jej trwałe sprostowanie może wymagać wcześniejszej aktualizacji danych w odpowiednim rejestrze publicznym.

Jeżeli dane znajdujące się w rejestrze REGON stanowią dane osobowe, osobie, której dotyczą, przysługują prawa wynikające z RODO, w szczególności:

• prawo dostępu do danych,
• prawo do sprostowania danych,
• prawo do żądania usunięcia danych w przypadkach przewidzianych przez RODO,
• prawo do ograniczenia przetwarzania,
• prawo do wniesienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO,
• prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Żądania dotyczące realizacji powyższych praw można przesyłać na adres kontakt@dataport.pl.

W przypadku sprzeciwu Administrator dokonuje indywidualnej oceny przedstawionej sytuacji. Jeżeli istnieją ważne prawnie uzasadnione podstawy przetwarzania nadrzędne wobec interesów, praw i wolności osoby, której dane dotyczą, Administrator może kontynuować przetwarzanie w zakresie dopuszczonym przez RODO.

Jeżeli jest to konieczne do bezpiecznej realizacji prawa dostępu lub przekazania kopii danych, Administrator może poprosić o dodatkowe informacje niezbędne do potwierdzenia tożsamości osoby składającej żądanie.

Dane pochodzące z rejestru REGON nie są przez DataPort wykorzystywane do podejmowania wobec przedsiębiorców decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływały.

DataPort udostępnia informacje rejestrowe i narzędzia służące ich technicznej weryfikacji. Powiadomienie e-mail o zmianie danych firmy objętej monitoringiem jest informacją o różnicy w rejestrze, a nie decyzją wobec przedsiębiorcy.