Polityka prywatności

1. Administrator danych

Administratorem danych osobowych użytkowników serwisu SzybkoPisz (szybkopisz.pl, dalej: „Serwis”) jest [nazwa firmy / imię i nazwisko, adres, NIP — do uzupełnienia] (dalej: „Administrator”, „my”).

W sprawach dotyczących danych osobowych można się z nami skontaktować mailowo: kontakt@szybkopisz.pl.

2. Jakie dane przetwarzamy

• Dane konta: adres e-mail oraz hasło (przechowywane wyłącznie w postaci kryptograficznego skrótu — nie znamy Twojego hasła).
• Dane treningowe: wyniki testów tempa (sł/min, dokładność), postęp w kursie i lekcjach, wyniki gier i pozycje w rankingu — powiązane z Twoim kontem.
• Dane płatności: informację o wykupionym planie (Pro), status subskrypcji i identyfikatory transakcji Stripe. Nie przechowujemy numerów kart płatniczych — dane karty trafiają wyłącznie do Stripe.
• Dane analityczne i marketingowe (tylko za Twoją zgodą — sekcja 5): odsłony stron, zdarzenia (np. rejestracja, rozpoczęcie płatności, zakup), identyfikatory pomiaru (vid/vsid) oraz adres e-mail w postaci skrótu SHA-256 przekazywany do pomiaru kampanii. Do czasu wyrażenia zgody nie zbieramy tych danych.
• Dane kontaktowe: treść wiadomości i adres e-mail, gdy piszesz do nas przez formularz kontaktowy lub mailowo.
• Dane techniczne: standardowe logi serwera (adres IP, czas żądania) przetwarzane w celu zapewnienia bezpieczeństwa i stabilności Serwisu.

3. Uczniowie w module szkolnym — zero danych osobowych dziecka

Moduł szkolny został zaprojektowany tak, aby Serwis nie zbierał żadnych danych osobowych dzieci. Uczeń loguje się wyłącznie sześcioznakowym kodem klasy otrzymanym od nauczyciela oraz wybranym przez siebie pseudonimem. Nie prosimy ucznia o imię, nazwisko, adres e-mail, datę urodzenia ani żadne inne dane identyfikujące.

Jeżeli szkoła we własnym zakresie przypisuje pseudonimy do konkretnych uczniów (np. w dzienniku nauczyciela), to szkoła jest administratorem tych danych, a my — jako dostawca narzędzia — działamy jako podmiot przetwarzający w rozumieniu art. 28 RODO, wyłącznie na udokumentowane polecenie szkoły. Po stronie Serwisu pseudonim wraz z wynikami treningowymi pozostaje danymi pseudonimowymi, których sami nie potrafimy powiązać z konkretnym dzieckiem.

4. Cele i podstawy prawne przetwarzania

• Świadczenie usług (konto, kurs, statystyki, ranking, moduł szkolny) — art. 6 ust. 1 lit. b RODO (wykonanie umowy).
• Obsługa płatności i rozliczenia — art. 6 ust. 1 lit. b i c RODO (umowa oraz obowiązki podatkowo-księgowe).
• Obsługa reklamacji i korespondencji — art. 6 ust. 1 lit. b i f RODO.
• Bezpieczeństwo i zapobieganie nadużyciom (logi, ochrona przed manipulacją rankingiem) — art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).
• Ustalenie i dochodzenie roszczeń — art. 6 ust. 1 lit. f RODO.
• Analityka i pomiar skuteczności reklam (sekcja 5) — art. 6 ust. 1 lit. a RODO (zgoda), którą możesz wycofać w dowolnym momencie.

Podanie danych jest dobrowolne, ale niezbędne do założenia konta i korzystania z usług płatnych.

5. Cookies i localStorage

Cookies niezbędne (zawsze aktywne — bez nich Serwis nie działa prawidłowo, nie wymagają zgody):

• Cookies sesyjne / uwierzytelniające — utrzymanie zalogowania (Supabase Auth).
• localStorage — preferencje interfejsu (np. motyw jasny/ciemny, ustawienia trenera) oraz lokalny postęp ćwiczeń przed zalogowaniem. Te dane pozostają w Twojej przeglądarce i nie są wysyłane na nasze serwery, dopóki nie powiążesz ich z kontem.
• Cookie zgody (cookie_consent_v1) — zapamiętuje Twój wybór dotyczący cookies analitycznych i marketingowych.

Cookies analityczne i marketingowe (włączane wyłącznie po wyrażeniu przez Ciebie zgody w banerze cookies — domyślnie wyłączone, do czasu zgody nie prowadzimy żadnego pomiaru):

• Identyfikatory pomiaru (vid — identyfikator urządzenia, vsid — identyfikator sesji) — pozwalają policzyć odsłony i zdarzenia (np. rejestracja, rozpoczęcie płatności) bez ujawniania Twojej tożsamości.
• Marketingowe — pomiar skuteczności kampanii reklamowych (m.in. Meta). Szczegóły odbiorców opisuje sekcja 6.

Zgodę możesz w dowolnym momencie wycofać lub zmienić — przez baner cookies albo usuwając cookies w ustawieniach przeglądarki. Wycofanie zgody nie wpływa na zgodność z prawem pomiaru prowadzonego przed jej wycofaniem. Cookies niezbędne można również zablokować w przeglądarce, ale może to uniemożliwić zalogowanie.

6. Odbiorcy danych

Korzystamy z następujących podwykonawców (podmiotów przetwarzających):

• Supabase — hosting bazy danych i uwierzytelnianie; dane przechowywane są w centrum danych na terenie Unii Europejskiej (region Irlandia / zachodnia UE).
• Stripe (Stripe Payments Europe, Ltd.) — obsługa płatności; Stripe jest samodzielnym administratorem w zakresie danych transakcyjnych wymaganych przepisami.
• Mailjet (Mailjet SAS, UE) — wysyłka wiadomości e-mail: transakcyjnych i uwierzytelniających (np. potwierdzenie konta, reset hasła) oraz — za zgodą — marketingowych.
• Dostawca hostingu aplikacji — utrzymanie infrastruktury Serwisu [nazwa dostawcy — do uzupełnienia przed publikacją].
• Własna infrastruktura analityczna (usługa pomiarowa pod adresem api.paweljarczak.pl) — prowadzona przez tego samego Administratora, służy do zbierania zdarzeń analitycznych i przekazywania ich do narzędzi pomiaru. Ponieważ należy do Administratora, nie jest to powierzenie danych podmiotowi zewnętrznemu. Działa wyłącznie po wyrażeniu przez Ciebie zgody (sekcja 5).
• Meta (Meta Platforms Ireland Ltd.) — pomiar skuteczności kampanii reklamowych przez Conversions API. Przekazujemy zdarzenia (np. rejestracja, zakup) oraz adres e-mail wyłącznie w postaci nieodwracalnego skrótu (SHA-256), nigdy jawnie. Tylko po wyrażeniu zgody marketingowej.

Dane mogą zostać udostępnione organom publicznym wyłącznie na podstawie obowiązujących przepisów prawa.

7. Przekazywanie danych poza EOG

Dane konta i dane treningowe przechowujemy na terenie UE. Niektórzy podwykonawcy i odbiorcy (np. Stripe oraz — przy zgodzie marketingowej — Meta) mogą przetwarzać część danych poza Europejskim Obszarem Gospodarczym — w takich przypadkach transfer odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską lub decyzji stwierdzających odpowiedni stopień ochrony (np. EU–US Data Privacy Framework).

8. Okres przechowywania danych

• Dane konta i treningowe — przez czas posiadania konta; po usunięciu konta dane są usuwane lub anonimizowane w terminie do 30 dni.
• Dane rozliczeniowe — przez okres wymagany przepisami podatkowymi (co do zasady 5 lat od końca roku podatkowego).
• Korespondencja i reklamacje — do czasu przedawnienia ewentualnych roszczeń.
• Konta uczniów (pseudonimy) — do czasu usunięcia klasy lub szkoły z Serwisu albo na żądanie szkoły.

9. Twoje prawa

Zgodnie z RODO masz prawo do:

• dostępu do swoich danych oraz otrzymania ich kopii,
• sprostowania (poprawienia) danych,
• usunięcia danych („prawo do bycia zapomnianym”),
• ograniczenia przetwarzania,
• przenoszenia danych (w ustrukturyzowanym formacie nadającym się do odczytu maszynowego),
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

Aby skorzystać ze swoich praw, napisz na adres kontakt@szybkopisz.pl. Odpowiadamy najpóźniej w ciągu miesiąca. Usunięcie konta wraz z danymi jest też możliwe samodzielnie z poziomu ustawień profilu.

10. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka: szyfrowanie transmisji (TLS), przechowywanie haseł wyłącznie w postaci skrótów, izolację danych na poziomie wierszy bazy danych (Row Level Security), minimalizację zbieranych danych oraz kontrolę dostępu do infrastruktury.

11. Zmiany polityki

Polityka może być aktualizowana, np. przy zmianie zakresu usług lub podwykonawców. O istotnych zmianach poinformujemy e-mailem oraz komunikatem w Serwisie. Aktualna wersja jest zawsze dostępna pod adresem szybkopisz.pl/prywatnosc. Zasady świadczenia usług opisuje Regulamin.