Wersja 1.1, obowiązuje od 2 października 2026 r. Dotyczy aplikacji mobilnej FCPOS, panelu webowego dostępnego pod adresem fcpos.pl oraz powiązanych usług.
Administratorem danych opisanych w tej polityce jest McProdukt Sp. j. z siedzibą w Gdyni, ul. Czesława Niemena 3/5, 81-603 Gdynia, KRS 0001216800, NIP 9581761589, REGON 543790473 („McProdukt”, „my”). W sprawach ochrony danych osobowych można się z nami skontaktować pod adresem kontakt@mcprodukt.pl albo listownie na adres siedziby. Nie wyznaczyliśmy inspektora ochrony danych.
Rezerwacje stolików i pokoi (imię gościa, telefon) oraz wizyty i otwarte rachunki są zapisywane wyłącznie na urządzeniu z aplikacją i nie trafiają na nasze serwery. Sam PIN kasjera zostaje na urządzeniu - do panelu trafia wyłącznie jego skrót.
Jeśli klient FCPOS korzysta z połączenia z KSeF, system łączy się z tym państwowym systemem Ministerstwa Finansów tokenem albo certyfikatem KSeF, który klient sam wygenerował i wprowadził w ustawieniach. Token i klucz certyfikatu przechowujemy w postaci zaszyfrowanej (AES-256-GCM). Klient wybiera środowisko KSeF (testowe albo produkcyjne). W środowisku produkcyjnym FCPOS automatycznie co godzinę (a także na żądanie, przyciskiem „Pobierz teraz”) pobiera z KSeF faktury zakupowe wystawione klientowi przez jego dostawców i przechowuje ich kopie, łącznie z pełną treścią XML. Jeśli klient wystawia w FCPOS faktury sprzedaży, system wysyła je do KSeF, a na polecenie klienta może też wysłać nabywcy e-mail z informacją o fakturze. Administratorem danych na tych dokumentach (w tym danych kontrahentów) jest klient FCPOS jako podatnik. My technicznie pośredniczymy w przekazaniu.
Opłaty za korzystanie z FCPOS przyjmujemy przelewem (na podstawie pro formy) albo online. Płatności online obsługuje imoje, operator płatności ING Bank Śląski S.A. z siedzibą w Katowicach: na jego stronie klient płaci kartą, BLIK-iem albo szybkim przelewem. Dane karty płatniczej nigdy nie trafiają na serwery FCPOS ani McProdukt, są przetwarzane wyłącznie przez systemy operatora płatności. Na potrzeby płatności przekazujemy operatorowi nazwę firmy, adres e-mail właściciela konta, kwotę i tytuł płatności, a od niego otrzymujemy status i identyfikator transakcji. W obecnej wersji płatność kartą jest jednorazowa i nie zapisujemy karty do kolejnych obciążeń. Jeśli włączymy płatności cykliczne, przechowamy wyłącznie identyfikator profilu płatniczego u operatora oraz zamaskowany numer karty (ostatnie cyfry, organizacja płatnicza, data ważności) w celu wyświetlenia go klientowi. Po otrzymaniu płatności wystawiamy fakturę VAT na dane firmy z konta.
Partnerzy (opiekunowie) to niezależne firmy, które polecają FCPOS, wdrażają go i serwisują na własny rachunek. Jeśli firma korzysta z FCPOS za pośrednictwem partnera, partner widzi w swoim panelu wyłącznie: nazwę firmy klienta, NIP, datę dołączenia, liczbę aktywnych stanowisk, informację, czy klient zmienił już hasło tymczasowe, oraz sumę wpłat netto w danym miesiącu i naliczoną od niej prowizję. Zakładając konto w imieniu klienta, partner widzi jeden raz hasło tymczasowe (klient dostaje je też e-mailem), a dopóki klient nie ustawi własnego hasła, partner może wygenerować dla niego nowe hasło tymczasowe. Przy pierwszym logowaniu klient ustawia własne hasło i sam akceptuje Regulamin i Politykę prywatności; kasy nie da się zalogować kontem firmy, zanim to zrobi. Zakładając konto nowemu klientowi, partner dowiaduje się jedynie, czy podany NIP lub adres e-mail ma już konto w FCPOS. Partner nie ma przez panel dostępu do sprzedaży, katalogu towarów, magazynu ani paragonów klienta.
Partner otrzymuje powyższe dane jako odrębny administrator, w celu rozliczenia programu partnerskiego i opieki nad klientem. Usługi, które partner świadczy klientowi (np. sprzedaż sprzętu, instalacja, szkolenie, serwis na miejscu), wykonuje na podstawie własnej umowy z klientem. Jeśli przy tym ma dostęp do danych na urządzeniach klienta, działa na jego zlecenie, a nie w imieniu McProdukt.
O samym partnerze przetwarzamy: nazwę firmy, NIP, adres, adresy e-mail i telefon kontaktowy, adres e-mail konta właściciela oraz dane rozliczeń prowizji. Klient przypisany do partnera widzi na pulpicie panelu nazwę partnera oraz podany przez niego e-mail i telefon kontaktowy.
Panel webowy fcpos.pl używa wyłącznie dwóch technicznych ciasteczek logowania: fcpos_access (uwierzytelnienie, ważne 15 minut) i fcpos_refresh (odświeżanie sesji, ważne do 30 dni), oznaczonych jako HttpOnly, Secure i SameSite=Strict. W pamięci przeglądarki (localStorage) panel zapisuje jedynie wybrany sposób pokazywania kwot (netto albo brutto). Nie używamy ciasteczek reklamowych ani analitycznych podmiotów trzecich, a aplikacja mobilna nie zawiera bibliotek reklamowych, analitycznych ani do raportowania awarii.
| Cel | Podstawa prawna (RODO) |
|---|---|
| Zawarcie umowy, świadczenie usługi FCPOS, obsługa konta | art. 6 ust. 1 lit. b: wykonanie umowy |
| Zapis akceptacji Regulaminu i Polityki prywatności (z adresem IP) jako dowód zawarcia umowy | art. 6 ust. 1 lit. b i f: wykonanie umowy i uzasadniony interes (wykazanie, kto i kiedy zawarł umowę) |
| Wystawianie faktur i dokumentów księgowych za licencje | art. 6 ust. 1 lit. c: obowiązek prawny (przepisy podatkowe) |
| Wysyłka faktur klienta do KSeF i pobieranie z KSeF jego faktur zakupowych | art. 28 RODO: przetwarzanie w imieniu klienta, który realizuje swoje obowiązki podatkowe |
| Rozliczenia z partnerami handlowymi | art. 6 ust. 1 lit. b i f: wykonanie umowy partnerskiej i uzasadniony interes |
| Zapobieganie nadużyciom (limity prób logowania, dziennik logowań z adresem IP) | art. 6 ust. 1 lit. f: uzasadniony interes administratora |
| Przypomnienia o kończącej się licencji | art. 6 ust. 1 lit. b: wykonanie umowy |
| Ustalenie, dochodzenie i obrona roszczeń | art. 6 ust. 1 lit. f: uzasadniony interes administratora |
Podanie danych przy rejestracji jest dobrowolne, ale bez nich nie da się założyć konta ani zawrzeć umowy. Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne wobec użytkownika.
Nie przekazujemy danych poza Europejski Obszar Gospodarczy. Nie sprzedajemy danych osobowych i nie przekazujemy ich w celach marketingowych podmiotom trzecim.
Dane konta przechowujemy przez czas trwania umowy oraz przez okres przedawnienia ewentualnych roszczeń. Zapis akceptacji Regulaminu i Polityki prywatności (wersje dokumentów, data i godzina, adres IP oraz kopia adresu e-mail konta, NIP-u i nazwy firmy) jest dowodem zawarcia umowy: zostaje także po usunięciu konta i obecnie nie jest usuwany automatycznie. Usuniemy go na wniosek po upływie okresu przedawnienia roszczeń z umowy. Dokumenty księgowe i dane istotne dla rozliczeń podatkowych (paragony, faktury) przechowujemy przez okres wymagany przepisami prawa podatkowego i rachunkowego (co do zasady 5 lat licząc od końca roku, w którym powstał obowiązek podatkowy). Wpisy dziennika zdarzeń (w tym adresy IP z logowań) nie są obecnie usuwane automatycznie: przechowujemy je przez czas istnienia konta. Dane przetwarzane w imieniu klienta usuwamy albo zwracamy po zakończeniu umowy na zasadach umowy powierzenia (Załącznik nr 1 do Regulaminu). Kopie zapasowe wykonujemy okresowo. Dane usunięte z systemu mogą pozostać w kopiach zapasowych, dopóki te kopie nie zostaną usunięte w ramach ich rotacji.
Każdej osobie, której dane przetwarzamy, przysługuje prawo do: dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie. W sprawie realizacji tych praw prosimy o kontakt pod adresem kontakt@mcprodukt.pl. Przysługuje również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO).
Jeśli Twoje dane są przetwarzane przez FCPOS w imieniu firmy, u której pracujesz albo robisz zakupy (np. Twoje imię i PIN na liście pracowników, Twój NIP na paragonie albo fakturze), w pierwszej kolejności skontaktuj się z tą firmą: to ona jest administratorem tych danych. Jeśli napiszesz do nas, przekażemy sprawę tej firmie i pomożemy ją rozwiązać.
W każdej chwili można złożyć wniosek o usunięcie konta FCPOS i powiązanych z nim danych. Szczegółowy opis procedury, zakresu usuwanych danych oraz tego, co musimy zachować z uwagi na przepisy podatkowe, znajduje się na stronie Usunięcie konta i danych.
Hasła przechowujemy w postaci skrótów argon2id, a PIN-y i karty pracowników wyłącznie jako skróty. Token i klucz certyfikatu KSeF szyfrujemy algorytmem AES-256-GCM, a tokeny stanowisk i sesji logowania przechowujemy wyłącznie jako skróty SHA-256. Komunikacja z panelem i aplikacją mobilną odbywa się wyłącznie po szyfrowanym połączeniu HTTPS. Dane karty płatniczej nigdy nie trafiają na nasze serwery. O naruszeniu ochrony danych, które może powodować ryzyko dla osób, zawiadamiamy Prezesa UODO, a gdy dotyczy danych powierzonych, także klienta, na zasadach umowy powierzenia.
Możemy aktualizować niniejszą politykę, w szczególności w związku ze zmianą przepisów albo rozwojem funkcji FCPOS. Każda wersja ma numer i datę obowiązywania. O istotnych zmianach poinformujemy właścicieli kont drogą mailową albo komunikatem w panelu przed dniem ich wejścia w życie. Do tego dnia panel tylko zapowiada nową wersję i pozwala zaakceptować ją wcześniej, a od tego dnia prosi o jej akceptację razem z Regulaminem.