Polityka Prywatności

1. Administrator danych osobowych

Administratorem Twoich danych osobowych jest Bartosz Dźwigała, prowadzący działalność edukacyjną pod nazwą „Szach Matura” (dalej: „Administrator”), z siedzibą pod adresem: Aleje Jerozolimskie 109/70, 02-011 Warszawa, Polska. Kontakt w sprawach ochrony danych osobowych: kontakt@szachmatura.pl

2. Jakie dane zbieramy

Zbieramy następujące dane:

• Adres e-mail - podawany dobrowolnie w formularzu zapisu na Planer Maturalny 2027 lub newsletter.
• Dane listy oczekujących (zajęcia grupowe) - jeśli zapisujesz się na listę oczekujących na zajęcia grupowe, zbieramy: adres e-mail, imię i nazwisko oraz deklarowany poziom matematyki. Dane te służą do nawiązania kontaktu w momencie otwarcia zapisów oraz do przesłania Ci kodu przedsprzedaży w okresie przedsprzedaży (opisanym w Regulaminie, §9). Ten sam mechanizm dotyczy listy oczekujących na konkretną, już pełną Grupę (§5 Regulaminu) - tam dodatkowo zapisujemy identyfikator i nazwę Grupy, na którą czekasz, żeby móc Cię poinformować, jeśli zwolni się w niej miejsce.
• Dane konta ucznia (Panel edukacyjny) - jeśli posiadasz konto w Panelu SzachMatura, przetwarzamy: adres e-mail, hasło (przechowywane wyłącznie w formie zahashowanej przez Firebase Authentication - Administrator nie ma do niego dostępu), imię i nazwisko, rolę (uczeń / korepetytor), deklarowany poziom matematyki, status weryfikacji adresu e-mail, informację o wersji i dacie akceptacji Regulaminu i Polityki Prywatności, opcjonalne zdjęcie profilowe, a także dane opisane w kolejnych punktach.
• Dane logowania kontem Google - jeśli zakładasz konto lub logujesz się przez Google Sign-In, otrzymujemy od Google adres e-mail oraz podstawowe dane profilowe (imię). Administrator nie przechowuje i nie ma dostępu do hasła Twojego konta Google.
• Dane dotyczące zajęć grupowych i zapisów - informacje o Grupach, do których jesteś zapisany (maksymalnie dwie jednocześnie), historię lekcji (daty, godziny, tematy, obecność), status Zapisu (aktywny / zakończony) oraz informację o liczbie opłaconych zajęć „do przodu”.
• Dane transakcyjne i płatności - informacje o transakcji (identyfikator, kwota, data, status, tytuł płatności - np. pierwsze zajęcia lub konkretny Pakiet). Obsługę karty płatniczej, BLIKA i innych metod płatności realizuje zewnętrzny Operator (Stripe); Administrator nie ma dostępu do pełnych danych karty.
• Wizerunek i głos (Nagrania zajęć) - podczas uczestnictwa w Zajęciach grupowych na żywo, przy dobrowolnym włączeniu mikrofonu lub kamery przez Ucznia. Nagrania są przechowywane w zewnętrznej infrastrukturze hostingu wideo (Bunny.net) i udostępniane w Panelu uczestnikom danej lekcji.
• Dane Bazy zadań i pracy domowej - treść Twoich odpowiedzi w zadaniach, wyniki (punkty), zgłoszone błędy w zadaniach oraz historia rozwiązanych zestawów. Dane te są widoczne dla przypisanego Ci Korepetytora w celu weryfikacji postępów.
• Dane programu poleceń - Twój indywidualny kod polecenia, liczba i status (zarejestrowany / zakupił pakiet) osób, które go wykorzystały, oraz status przyznanych i wykorzystanych zniżek. Nie widzimy i nie przetwarzamy przy tym danych osobowych osób poleconych poza informacją o samym fakcie i etapie realizacji polecenia.
• Zgody i oświadczenia wyrażane przy koncie - przy rejestracji zapisujemy oświadczenie Użytkownika, że ukończył 16. rok życia albo posiada zgodę rodzica lub opiekuna prawnego na założenie konta (Art. 8 RODO; bez danych opiekuna). Jeśli podczas rejestracji lub przy akceptacji zaktualizowanego Regulaminu zaznaczysz opcjonalną zgodę marketingową, zapisujemy fakt i datę jej wyrażenia.
• Dane analityczne - anonimowe dane o ruchu na stronie zbierane przez Google Analytics (strony odwiedzane, czas wizyty, typ urządzenia, przybliżona lokalizacja). Google Analytics używa plików cookies i jest aktywny wyłącznie po wyrażeniu zgody.
• Dane techniczne - adres IP, typ przeglądarki, system operacyjny (zbierane automatycznie przez serwer).
• Dane zabezpieczające rejestrację i zapisy - adres IP oraz wynik weryfikacji Cloudflare Turnstile podczas zakładania konta, logowania oraz zapisu na Zajęcia grupowe, wykorzystywane wyłącznie do ochrony przed botami i nadużyciami (przechowywane maksymalnie 30 dni).

3. Cel przetwarzania danych

Twoje dane przetwarzamy w następujących celach:

• Wysyłka darmowego Planera Maturalnego 2027 po potwierdzeniu adresu e-mail.
• Wysyłka newslettera z materiałami edukacyjnymi (wyłącznie za Twoją zgodą).
• Kontakt w sprawie zapisów na zajęcia grupowe (lista oczekujących), w tym przesłanie kodu przedsprzedaży.
• Założenie i obsługa Konta w Panelu edukacyjnym - rejestracja (e-mail/hasło lub Google Sign-In), weryfikacja adresu e-mail, logowanie, resetowanie hasła, wymuszenie akceptacji aktualnej wersji Regulaminu i Polityki Prywatności oraz samodzielne usunięcie konta.
• Świadczenie usług Panelu edukacyjnego - zarządzanie zapisami i harmonogramem zajęć grupowych, udostępnianie i realizowanie pracy domowej w Bazie zadań, rozliczanie płatności za pośrednictwem Stripe, komunikacja między uczniem a korepetytorem.
• Prowadzenie i udostępnianie Nagrań z Zajęć grupowych ich uczestnikom w celu umożliwienia powtórki materiału.
• Obsługa Programu poleceń - generowanie kodów, przyznawanie i odbieranie zniżek, zapobieganie nadużyciom (np. self-referral).
• Ochrona przed nadużyciami przy rejestracji, logowaniu i zapisach - weryfikacja Cloudflare Turnstile, ograniczenie liczby prób (rate limiting) oraz mechanizmy wykrywania botów.
• Analiza ruchu na stronie w celu poprawy jakości serwisu (Google Analytics) - wyłącznie za Twoją zgodą.
• Mierzenie skuteczności kampanii reklamowych oraz wyświetlanie spersonalizowanych reklam osobom, które odwiedziły Serwis (Meta Pixel, Google Ads) - wyłącznie za Twoją zgodą.
• Zapewnienie bezpieczeństwa i prawidłowego działania serwisu.

4. Podstawa prawna przetwarzania

Przetwarzanie danych odbywa się na podstawie:

• Art. 6 ust. 1 lit. a RODO (zgoda) - Twoja dobrowolna zgoda wyrażona m.in. przy zapisie na newsletter, zaakceptowaniu cookies analitycznych/marketingowych czy udostępnieniu wizerunku/głosu poprzez włączenie kamery lub mikrofonu podczas zajęć.
• Art. 6 ust. 1 lit. b RODO (umowa) - wykonanie umowy o świadczenie usług edukacyjnych (rejestracja i obsługa Konta, zapis i uczestnictwo w Zajęciach grupowych, realizacja płatności, udostępnienie Bazy zadań i Nagrań, obsługa Programu poleceń).
• Art. 6 ust. 1 lit. c RODO (obowiązek prawny) - rozliczenia podatkowe i księgowe dotyczące zakupionych płatnych usług.
• Art. 6 ust. 1 lit. f RODO (uzasadniony interes) - bezpieczeństwo serwisu (rate limiting, Cloudflare Turnstile), zarządzanie miejscami w Grupach (w tym zwolnienie miejsca w razie braku płatności zgodnie z Regulaminem, §5), obrona przed roszczeniami oraz zabezpieczanie dowodów realizacji umów.

Podanie danych jest dobrowolne, lecz niezbędne do korzystania z danej usługi (newsletter, lista oczekujących, Panel edukacyjny, zapis na zajęcia grupowe, płatności).

Profilowanie: W celu dopasowania przesyłanych materiałów edukacyjnych oraz ofert w ramach listy oczekujących Administrator może dokonywać segmentacji (profilowania) odbiorców na podstawie deklarowanego poziomu matematyki (np. „Podstawa - byle zdać” / „Rozszerzenie”). Profilowanie to ma charakter wyłącznie informacyjny i marketingowy i nie skutkuje podejmowaniem zautomatyzowanych decyzji wywołujących skutki prawne dla Użytkownika.

5. Pliki cookies i dane sesji

Serwis używa następujących rodzajów cookies:

• Cookies niezbędne (sesja Panelu edukacyjnego) - po zalogowaniu ustawiamy bezpieczne, szyfrowane ciastko sesji (HttpOnly, Secure, SameSite=Lax), które identyfikuje zalogowanego użytkownika. Wygasa po zamknięciu przeglądarki (bez opcji „Zapamiętaj mnie”) lub po 30 dniach. Nie zawiera danych osobowych - jedynie zaszyfrowany token weryfikacyjny. Cookies niezbędne są aktywne zawsze i nie wymagają zgody. Obejmuje to również podstawowe cookies Operatora płatności (Stripe) służące zapobieganiu oszustwom i realizowaniu transakcji.
• Cookies analityczne (Google Analytics) - umożliwiają analizę ruchu na stronie: odwiedzane podstrony, czas wizyty, typ urządzenia, przybliżona lokalizacja. Dane są anonimizowane i nie pozwalają na identyfikację konkretnej osoby. Ustawiane wyłącznie po wyrażeniu zgody przez Użytkownika.
• Cookies reklamowe i marketingowe (Meta Pixel, Google Ads) - umożliwiają mierzenie skuteczności kampanii reklamowych oraz wyświetlanie spersonalizowanych treści reklamowych osobom, które odwiedziły Serwis. Meta Pixel przesyła anonimowe dane o zdarzeniach na stronie (np. wyświetlenie strony, kliknięcie formularza) do Meta Platforms w celu optymalizacji reklam. Google Ads umożliwia mierzenie konwersji z kampanii reklamowych Google. Cookies te są ustawiane wyłącznie po wyrażeniu zgody przez Użytkownika na banerze cookie.

Zgodę na cookies analityczne i reklamowe możesz cofnąć w dowolnym momencie, klikając link „Ustawienia cookies” dostępny w stopce strony. Możesz też zrezygnować ze śledzenia przez Google Analytics, instalując oficjalny dodatek Google Analytics Opt-out. Zablokowanie cookie sesji uniemożliwi korzystanie z Panelu edukacyjnego.

6. Okres przechowywania danych

• Dane newsletterowe (adres e-mail) - do momentu wypisania się z subskrypcji lub cofnięcia zgody.
• Dane listy oczekujących (e-mail, imię i nazwisko, poziom) - do momentu cofnięcia zgody, wykorzystania kodu przedsprzedaży i zapisania się na zajęcia, albo do 12 miesięcy od zapisania się, w zależności od tego, co nastąpi wcześniej.
• Dane z płatności / transakcyjne - przez 5 lat od końca roku, w którym nastąpiła płatność (wymóg księgowy).
• Nagrania z zajęć - przez czas trwania Konta Ucznia i jego dostępu do Panelu, chyba że Administrator wcześniej podejmie decyzję o ich usunięciu z uwagi na ograniczenia techniczne lub pojemność hostingu wideo.
• Dane Bazy zadań i pracy domowej (odpowiedzi, wyniki) - przez czas trwania Konta Ucznia, na analogicznych zasadach jak dane konta opisane poniżej.
• Dane Programu poleceń (kod, status poleceń, przyznane zniżki) - przez czas trwania Konta Ucznia, który wygenerował kod.
• Dane analityczne (Google Analytics) - domyślnie 26 miesięcy.
• Logi techniczne (adres IP) - przez okres do 30 dni.
• Dane konta ucznia (Panel edukacyjny) - przez czas trwania współpracy, a po jej zakończeniu do upływu terminu przedawnienia ewentualnych roszczeń związanych z umową (co do zasady 6 lat od zakończenia współpracy, zgodnie z art. 118 Kodeksu cywilnego), chyba że wcześniej samodzielnie usuniesz konto w ustawieniach Panelu lub złożysz żądanie usunięcia danych - wówczas dane usuwane są niezwłocznie (z zastrzeżeniem danych, które Administrator musi zachować dłużej z uwagi na obowiązki księgowe, opisane powyżej). Konta nieaktywne (brak logowania przez okres powyżej 24 miesięcy) mogą zostać usunięte po uprzednim powiadomieniu mailowym.
• Dane zabezpieczające rejestrację, logowanie i zapisy (adres IP, wynik weryfikacji Cloudflare Turnstile) - do 30 dni.

7. Twoje prawa

Zgodnie z RODO przysługują Ci następujące prawa:

• Prawo dostępu - możesz uzyskać informację o przetwarzanych danych.
• Prawo do sprostowania - możesz poprawić nieprawidłowe dane.
• Prawo do usunięcia - możesz żądać usunięcia swoich danych.
• Prawo do ograniczenia przetwarzania - możesz ograniczyć zakres przetwarzania.
• Prawo do sprzeciwu - możesz sprzeciwić się przetwarzaniu danych.
• Prawo do przenoszenia danych - w zakresie danych przetwarzanych na podstawie zgody lub umowy, w ustrukturyzowanym, powszechnie używanym formacie.
• Prawo do cofnięcia zgody - w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania przed cofnięciem.

Aby skorzystać z powyższych praw, skontaktuj się: kontakt@szachmatura.pl

Wypisanie z newslettera jest możliwe w każdej chwili poprzez kliknięcie linku „wypisz się” w każdej wiadomości e-mail.

Jeśli posiadasz konto w Panelu edukacyjnym, możesz samodzielnie usunąć je w każdej chwili w ustawieniach konta (sekcja „Usuń konto”) - usunięcie jest nieodwracalne i wymaga potwierdzenia poprzez wpisanie słowa „Rozumiem”.

8. Odbiorcy danych

Dane są przekazywane następującym podmiotom:

• Stripe Payments Europe, Ltd. (Irlandia / USA) - operator obsługujący płatności za Zajęcia grupowe (pierwsze zajęcia i Pakiety). Polityka prywatności Stripe
• Bunny.net (BunnyWay s.r.o.) - hosting wideo wykorzystywany do przechowywania i odtwarzania Nagrań z Zajęć grupowych udostępnianych w Panelu. Polityka prywatności Bunny.net
• MailerLite (UAB „MailerLite”, Litwa) - obsługa newslettera oraz listy osób, które wyraziły zgodę marketingową przy zakładaniu konta w Panelu edukacyjnym; dane przetwarzane na serwerach w UE. Polityka prywatności MailerLite
• Meta Platforms Ireland Ltd. (Irlandia / USA) - usługa Meta Pixel; przetwarzanie anonimowych danych o aktywności w Serwisie w celach analitycznych oraz kierowania spersonalizowanych reklam. Dane są przekazywane do Meta Platforms, Inc. w USA na podstawie Standardowych Klauzul Umownych (SCC) oraz programu Data Privacy Framework. Polityka prywatności Meta
• Google LLC (USA) - Google Sign-In (logowanie i rejestracja kontem Google), Google Analytics (analiza ruchu na stronie) oraz Google Ads (mierzenie konwersji i skuteczności kampanii reklamowych). Dane są przekazywane do USA na podstawie Standardowych Klauzul Umownych (SCC) oraz w ramach programu Data Privacy Framework. Polityka prywatności Google
• Google Firebase (Firebase Authentication, Firestore, Storage) - dane kont użytkowników Panelu (email, hasło w formie zahashowanej, rola, historia lekcji, dane płatności, dane Bazy zadań, zdjęcie profilowe) oraz pliki materiałów edukacyjnych (Materiały, dokumenty) przechowywane są w infrastrukturze Google Firebase. Dostęp do tych danych z zewnątrz (w tym z przeglądarki) jest zablokowany - odbywa się wyłącznie poprzez serwerowe API Serwisu uwierzytelnione kontem serwisowym. Transfer danych odbywa się na podstawie standardowych klauzul umownych (SCC). Polityka prywatności Firebase
• Vercel Inc. (USA) - hosting serwisu; transfer danych na podstawie standardowych klauzul umownych (SCC).
• Cloudflare Inc. (USA) - weryfikacja bezpieczeństwa (Cloudflare Turnstile) podczas rejestracji, logowania i zapisów w Panelu edukacyjnym; przetwarzanie adresu IP i danych przeglądarki w celu wykrycia botów. Transfer danych na podstawie standardowych klauzul umownych (SCC). Polityka prywatności Cloudflare

Podmioty z USA, z których usług korzysta Administrator (Google, Vercel, Cloudflare, Stripe), posiadają certyfikację w ramach programu Data Privacy Framework (umowa UE–USA z 2023 r.) lub stosują Standardowe Klauzule Umowne (SCC), co gwarantuje odpowiedni stopień ochrony danych osobowych wymagany przez przepisy europejskie.

Administrator nie sprzedaje danych osobowych Użytkowników podmiotom trzecim. Dane mogą być wykorzystywane do kierowania spersonalizowanych reklam wyłącznie za pośrednictwem zaufanych dostawców (Meta, Google) i jedynie po wyrażeniu przez Użytkownika dobrowolnej zgody na pliki cookies reklamowe.

Twój Korepetytor (administrator Grupy, do której jesteś zapisany) ma - w zakresie niezbędnym do świadczenia usługi - wgląd w Twoje imię i nazwisko, adres e-mail, historię lekcji, status płatności, odpowiedzi w Bazie zadań/pracy domowej oraz status udziału w Grupie.

9. Bezpieczeństwo danych

Połączenie z serwisem jest szyfrowane protokołem SSL/TLS. Stosujemy odpowiednie środki techniczne, aby chronić Twoje dane przed nieuprawnionym dostępem, w tym:

• Szyfrowane ciastka sesji (HttpOnly, Secure) uniemożliwiające odczyt tokenu przez skrypty JavaScript.
• Uwierzytelnianie oparte na podpisanych tokenach JWT z ograniczonym czasem ważności.
• Automatyczne wylogowanie po 45 minutach bezczynności.
• Ograniczenie liczby prób logowania, rejestracji i zapisów na zajęcia (rate limiting) chroniące przed atakami brute-force, masowym zakładaniem kont oraz nadużywaniem kodów zniżkowych.
• Weryfikacja Cloudflare Turnstile oraz mechanizmy wykrywania botów (pola honeypot) przy rejestracji i zapisach.
• Obowiązkowa weryfikacja adresu e-mail przy rejestracji kontem e-mail/hasło.
• Hasła przechowywane wyłącznie w formie zahashowanej przez Firebase Authentication - Administrator nigdy nie ma dostępu do hasła w postaci jawnej.
• Domyślna blokada wszelkiego bezpośredniego dostępu do bazy danych i plików z przeglądarki - wszystkie operacje odbywają się poprzez zabezpieczone, serwerowe API Serwisu.
• Płatności aktywują dostęp do usługi wyłącznie po potwierdzeniu ich powodzenia bezpośrednio przez Operatora płatności (Stripe), a nie na podstawie samego przekierowania w przeglądarce Użytkownika.
• Zabezpieczające nagłówki HTTP (m.in. Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Strict-Transport-Security).

10. Bezpieczeństwo konta ucznia - obowiązki użytkownika

Jeśli korzystasz z indywidualnego konta ucznia w panelu SzachMatura, odpowiadasz za:

• Zachowanie hasła w poufności - nie wolno udostępniać hasła do swojego konta osobom trzecim, w tym innym uczniom, członkom rodziny ani znajomym.
• Wylogowanie na urządzeniach publicznych - po zakończeniu pracy na komputerze szkolnym, bibliotecznym lub innym współdzielonym urządzeniu należy wylogować się z panelu.
• Niezaznaczanie opcji „Zapamiętaj mnie” na urządzeniach, z których korzystają inne osoby - opcja ta wydłuża ważność sesji do 30 dni.
• Niezwłoczne poinformowanie Administratora (kontakt@szachmatura.pl) o podejrzeniu nieautoryzowanego dostępu do konta.

Administrator nie ponosi odpowiedzialności za szkody wynikające z nieautoryzowanego dostępu spowodowanego udostępnieniem hasła osobom trzecim lub brakiem wylogowania na urządzeniu publicznym.

11. Skargi

Jeśli uważasz, że przetwarzanie Twoich danych narusza przepisy RODO, masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).