Regulamin świadczenia usługi Rejestry API

Usługodawca: OBRÓT INKASO (NIP 7393988198), operator marki DebtStrike · Kontakt: kontakt@debtstrike.eu · Wersja: 27.07.2026

§1. Przedmiot usługi

1. Usługa polega na udostępnianiu, w formie interfejsu programistycznego (API), danych pochodzących z publicznych rejestrów prowadzonych przez organy administracji: KRS, wykazu podatników VAT (biała lista), REGON/GUS, CEIDG, CRBR, BZP oraz SUDOP.
2. Usługodawca nie jest źródłem danych. Dane pochodzą od organów wymienionych w ust. 1; Usługodawca odpowiada za ich pobranie, normalizację, oznaczenie czasem ważności i udostępnienie.
3. Każda odpowiedź zawiera notę o źródle (atrybucję) wymaganą ustawą o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego. Klient zobowiązuje się jej nie usuwać przy prezentacji danych osobom trzecim.

§2. Definicja zapytania

1. Jednostką rozliczeniową jest jedno zapytanie. Nie stosuje się mnożników za źródło, za wymuszenie świeżości ani za wystawienie certyfikatu.
2. Rozliczeniu podlega odpowiedź rejestru, a nie próba jej uzyskania. Szczegółowo:

   Sytuacja	Rozliczenie
   Odpowiedź z danymi (found)	1
   Odpowiedź „brak wpisu" (not_found)	1
   Odpowiedź z pamięci podręcznej Usługodawcy	1
   Rejestr źródłowy niedostępny (unavailable)	0
   Błąd po stronie Usługodawcy (5xx)	0
   Błąd walidacji żądania (400)	0
   Brak lub nieważny klucz, brak uprawnień (401, 403)	0
   Przekroczenie limitu (429)	0
   Zapytanie obejmujące N źródeł	N
   Zapytanie zbiorcze obejmujące N podmiotów	N
   Wystawienie certyfikatu do rozliczonego zapytania	0

3. Stan wykorzystania pakietu Klient odczytuje z nagłówków odpowiedzi (RateLimit-Quota-*) oraz z pola meta.billed każdej odpowiedzi. Rozliczenie miesięczne opiera się na rejestrze zapytań prowadzonym przez Usługodawcę (audyt), przechowywanym przez 400 dni.

§3. Pakiety, nadwyżka i sufit

1. Pakiety i ceny określa cennik dostępny na stronie Usługodawcy.
2. Zapytania ponad pakiet („nadwyżka") są rozliczane z dołu, według stawki z cennika, w miesięcznym okresie rozliczeniowym odpowiadającym miesiącowi kalendarzowemu (czas UTC).
3. Twardy sufit nadwyżki wynosi trzykrotność pakietu. Po jego osiągnięciu Usługa przestaje przyjmować zapytania do końca okresu rozliczeniowego. Ograniczenie działa na korzyść Klienta — chroni go przed nieograniczonym zobowiązaniem powstałym wskutek błędu w jego integracji.
4. Pakiet bezpłatny (FREE) nie przewiduje nadwyżki: po wyczerpaniu pakietu Usługa przestaje przyjmować zapytania do końca okresu.
5. Usługodawca powiadamia Klienta pocztą elektroniczną po przekroczeniu 80%, 100%, 200% i 300% pakietu. Powiadomienie ma charakter informacyjny; jego brak (np. z powodu niedziałania poczty Klienta) nie wpływa na skuteczność rozliczenia ani na działanie sufitu.

§4. Limity techniczne i świeżość danych

1. Usługodawca stosuje limit liczby zapytań na sekundę, właściwy dla pakietu. Przekroczenie skutkuje odpowiedzią 429 z nagłówkiem Retry-After; zapytanie takie nie jest rozliczane.
2. Odpowiedzi mogą pochodzić z pamięci podręcznej Usługodawcy. Każda odpowiedź zawiera datę ważności danych w rejestrze (timestamps.validAsOf) oraz moment pobrania (timestamps.sourceFetchedAt).
3. Klient może wymusić pobranie z pominięciem pamięci podręcznej (parametr fresh). Liczba takich pobrań jest ograniczona udziałem procentowym w pakiecie, właściwym dla pakietu. Po wyczerpaniu udziału zapytania z parametrem fresh nie są odrzucane — obsługiwane są z pamięci podręcznej, co Usługodawca oznacza nagłówkiem X-DS-Freshness: degraded oraz ostrzeżeniem w treści odpowiedzi. Ograniczenie służy ochronie rejestrów publicznych przed przeciążeniem.
4. Limity nakładane przez rejestry źródłowe obciążają Usługodawcę i nie są przenoszone na Klienta w postaci błędu 429. Ich skutkiem może być odpowiedź unavailable albo dane z pamięci podręcznej oznaczone jako nieświeże.

§5. Charakter danych i odpowiedzialność

1. Usługodawca dokłada należytej staranności, aby dane odpowiadały stanowi rejestru na moment wskazany w odpowiedzi. Nie gwarantuje aktualności, kompletności ani poprawności danych pochodzących od organów — za te odpowiadają organy je prowadzące.
2. Odpowiedź not_found oznacza, że rejestr odpowiedział brakiem wpisu. Odpowiedź unavailable oznacza, że rejestr nie odpowiedział, i nie stanowi informacji o braku wpisu. Klient zobowiązuje się nie prezentować odpowiedzi unavailable jako informacji o nieistnieniu podmiotu.
3. Usługa jest świadczona w modelu „as is" w zakresie danych źródłowych. Odpowiedzialność Usługodawcy z tytułu niewykonania lub nienależytego wykonania umowy ograniczona jest do wysokości opłat uiszczonych przez Klienta w okresie 12 miesięcy poprzedzających zdarzenie, z wyłączeniem szkody wyrządzonej umyślnie.
4. Usługodawca nie świadczy usług doradztwa prawnego, podatkowego ani finansowego. Decyzje podejmowane na podstawie danych są decyzjami Klienta.

§6. Redystrybucja i pamięć podręczna Klienta

1. W pakietach płatnych Klient jest uprawniony do udostępniania danych swoim klientom w ramach własnego produktu (np. prezentacja w kartotece kontrahenta w systemie ERP), z zachowaniem atrybucji z §1 ust. 3.
2. Klient może przechowywać otrzymane dane bez ograniczeń czasowych we własnych systemach.
3. Uprawnienia z ust. 1 i 2 nie przysługują w pakiecie bezpłatnym (FREE), który służy wyłącznie ewaluacji Usługi.
4. Niedozwolone jest odsprzedawanie dostępu do samego API (udostępnianie klucza, pośredniczenie w zapytaniach osób trzecich) bez odrębnej umowy.

§7. Certyfikaty zapytań

1. Certyfikat to zamrożona treść odpowiedzi wraz z odciskiem kryptograficznym (HMAC-SHA256), stanowiąca dowód, że w danym momencie rejestr udzielił określonej odpowiedzi.
2. Certyfikat może zostać wystawiony do każdego rozliczonego zapytania zakończonego odpowiedzią found. Nie jest osobno płatny i nie zużywa dodatkowej jednostki.
3. Certyfikaty nie podlegają standardowej retencji (§8). Po rozwiązaniu umowy pozostają dostępne do pobrania przez 12 miesięcy, po czym są trwale usuwane.

§8. Retencja danych

§9. Dane osobowe

1. Dane udostępniane przez Usługę pochodzą z rejestrów jawnych. Usługa nie udostępnia numerów PESEL — w przypadku CRBR zwracany jest wyłącznie rok urodzenia beneficjenta rzeczywistego.
2. Dane beneficjentów rzeczywistych (CRBR) są danymi osobowymi. Usługodawca udostępnia je wyłącznie na wyraźne żądanie Klienta (osobny endpoint); nie wchodzą one do zbiorczego zapytania o podmiot. Klient przetwarza je we własnym celu i na własną odpowiedzialność, jako odrębny administrator.
3. Rejestr zapytań nie zawiera danych osobowych osób fizycznych — wyłącznie identyfikatory podmiotów gospodarczych.

§10. Klucze dostępowe i bezpieczeństwo

1. Klucz API identyfikuje Klienta. Klient odpowiada za jego poufność; zapytania wykonane kluczem uznaje się za wykonane przez Klienta.
2. Usługodawca nie przechowuje sekretu klucza — wyłącznie jego skrót kryptograficzny. Utraconego klucza nie da się odzyskać; wydawany jest nowy.
3. Usługodawca może odwołać klucz ze skutkiem natychmiastowym w razie naruszenia regulaminu, powiadamiając Klienta.

§11. Zmiany regulaminu i cennika

1. O zmianie regulaminu lub cennika Usługodawca informuje z wyprzedzeniem 30 dni, pocztą elektroniczną na adres Klienta.
2. Zmiana nie dotyczy okresów rozliczeniowych opłaconych z góry.
3. Klient, który nie akceptuje zmiany, może rozwiązać umowę ze skutkiem na koniec okresu rozliczeniowego.

§12. Wersjonowanie API

1. Wersja API jest częścią adresu (/v1). W obrębie wersji Usługodawca może dodawać pola i ostrzeżenia, nie usuwa jednak pól istniejących ani nie zmienia ich znaczenia.
2. Zmiana łamiąca zgodność oznacza wydanie kolejnej wersji obok istniejącej.
3. O wycofaniu wersji Usługodawca informuje z wyprzedzeniem 12 miesięcy.