1. Administrator danych
- Administratorem Twoich danych osobowych jest [imię i nazwisko], adres do doręczeń: [adres], prowadzący(-a) serwis Korkify w ramach działalności nierejestrowanej (dalej: „Korkify” lub „my”).
- W sprawach danych osobowych pisz na prywatnosc@korkify.pl albo listownie na adres siedziby. [Jeśli wyznaczymy inspektora ochrony danych, podamy tu jego dane.]
- Przy płatnościach za Plany i Promowanie Operator płatności (Stripe) jest odrębnym administratorem danych, które przetwarza na potrzeby obsługi płatności, przeciwdziałania oszustwom i swoich obowiązków prawnych. Zasady Stripe: stripe.com/pl/privacy.
2. Jakie dane zbieramy
W skrócie
Tylko to, czego potrzebujemy do działania serwisu. Większość danych podajesz sam, część powstaje, gdy korzystasz z serwisu.
| Kogo dotyczy | Dane | Skąd |
|---|---|---|
| Każdy Użytkownik z Kontem | imię i nazwisko, e-mail, hasło (w postaci zaszyfrowanego skrótu), typ Konta, ustawienia powiadomień, zgody | od Ciebie |
| Uczeń i Rodzic | Ogłoszenia (przedmiot, poziom, cel, miasto, terminy, budżet), Rezerwacje, opinie, informacja o ukończeniu 16 lat, imiona i roczniki dzieci | od Ciebie |
| Korepetytor i Szkoła | Profil (zdjęcie, opis, wykształcenie, certyfikaty, przedmioty, miasta, ceny, kalendarz), status przedsiębiorcy, wyniki uczniów, dokumenty do weryfikacji, potwierdzenie tożsamości z banku, dane firmy Szkoły (nazwa, NIP, adres, logo) | od Ciebie, z banku przy weryfikacji |
| Korepetytorzy i Szkoły płacący za Plany lub Promowanie | historia płatności, ostatnie 4 cyfry i typ karty, status płatności (pełne dane karty ma tylko Operator płatności) | od Operatora płatności |
| Uczestnicy rozmów | treść wiadomości, załączniki, Propozycje lekcji, zgłoszenia | od Ciebie |
| Wszyscy odwiedzający | adres IP, typ urządzenia i przeglądarki, logi bezpieczeństwa, pliki cookies (szczegóły w punkcie 11) | z Twojego urządzenia |
3. Cele, podstawy prawne i okresy przechowywania
W skrócie
Każdy cel ma swoją podstawę w RODO i swój termin. Nie trzymamy danych dłużej, niż to konieczne.
| Cel | Podstawa (RODO) | Jak długo |
|---|---|---|
| Prowadzenie Konta, Profilu, Czatu, Ogłoszeń, Rezerwacji i pozostałych usług z regulaminu | wykonanie umowy, art. 6 ust. 1 lit. b | do usunięcia Konta |
| Płatności za Plany i Promowanie, ewidencja przychodów, rozliczenia podatkowe | wykonanie umowy (lit. b) i obowiązek prawny (lit. c) | ewidencja i dowody płatności przez 5 lat od końca roku podatkowego |
| Weryfikacja Korepetytorów i potwierdzanie wyników uczniów | wykonanie umowy (lit. b) i prawnie uzasadniony interes w wiarygodności Serwisu (lit. f) | dokumenty z weryfikacji przez 30 dni od decyzji, sama informacja o weryfikacji do usunięcia Konta |
| Bezpieczeństwo, ochrona dzieci, moderacja, zapobieganie oszustwom, obsługa zgłoszeń z DSA | prawnie uzasadniony interes (lit. f) i obowiązek prawny (lit. c) | logi 12 miesięcy, zgłoszenia i dowody do zakończenia sprawy i przedawnienia roszczeń (zwykle do 6 lat) |
| Reklamacje, obrona przed roszczeniami i ich dochodzenie | prawnie uzasadniony interes (lit. f) | do przedawnienia roszczeń |
| Powiadomienia e-mail związane z Kontem i Lekcjami | wykonanie umowy (lit. b) | do usunięcia Konta lub wyłączenia powiadomienia |
| Newsletter „Porady i nowości” | zgoda (lit. a) oraz zgoda na komunikację elektroniczną z Prawa komunikacji elektronicznej | do wycofania zgody |
| Statystyki odwiedzin i ulepszanie Serwisu (cookies analityczne) | zgoda (lit. a) | do wycofania zgody, zgodnie z tabelą w punkcie 11 |
Podanie danych jest dobrowolne, ale bez danych oznaczonych jako wymagane nie założysz Konta ani nie skorzystasz z danej funkcji.
4. Komu przekazujemy dane
W skrócie
Firmom, które pomagają nam prowadzić serwis (na podstawie umów powierzenia), innym użytkownikom w zakresie potrzebnym do lekcji i organom, gdy wymaga tego prawo.
- Innym Użytkownikom: Profil Korepetytora jest publiczny. Uczniowie i Korepetytorzy widzą nawzajem dane potrzebne do kontaktu i Lekcji (imię, wiadomości, Rezerwacje). Opinie są publikowane z imieniem i pierwszą literą nazwiska autora.
- Dostawcom usług, którzy przetwarzają dane w naszym imieniu: hosting i baza danych (Vercel Inc., Supabase Inc., z bazą danych na serwerach w Unii Europejskiej), wysyłka e-maili (Resend), narzędzia analityczne (tylko za Twoją zgodą), obsługa księgowa, jeśli z niej korzystamy.
- Operatorowi płatności: Stripe Payments Europe, Limited (Irlandia), w zakresie potrzebnym do płatności za Plany i Promowanie oraz przeciwdziałania oszustwom.
- Bankowi przy potwierdzeniu tożsamości w procesie weryfikacji: bank przekazuje nam wyłącznie potwierdzenie danych, nie dostęp do konta.
- Organom publicznym: urzędowi skarbowemu w zakresie przewidzianym przepisami podatkowymi, a także policji, prokuraturze i sądom, gdy wymaga tego prawo lub gdy zagrożone jest życie lub bezpieczeństwo osób (art. 18 DSA).
- Nie sprzedajemy danych osobowych i nie udostępniamy ich do celów marketingowych innych firm.
5. Przekazywanie danych poza EOG
- Część dostawców (np. Vercel, Resend, Stripe) ma siedzibę lub podwykonawców w Stanach Zjednoczonych. Przekazanie danych odbywa się na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU-US Data Privacy Framework) w odniesieniu do certyfikowanych firm albo standardowych klauzul umownych zatwierdzonych przez Komisję.
- Kopię zabezpieczeń możesz otrzymać, pisząc na prywatnosc@korkify.pl.
6. Dzieci i konta rodzica
- Osoby poniżej 16 lat nie zakładają własnych Kont. Dziecko korzysta z Serwisu przez Konto rodzica, a Rodzic decyduje o zakresie danych dziecka (podajemy tylko imię i rok urodzenia, opcjonalnie e-mail do logowania).
- Rodzic widzi rozmowy dziecka z Korepetytorami i może dostawać ich kopie na e-mail. Robimy to w prawnie uzasadnionym interesie ochrony dziecka i Rodzica.
- Nie kierujemy do dzieci żadnej komunikacji marketingowej i nie profilujemy ich.
- Jeśli dowiemy się, że Konto założyła osoba poniżej 16 lat bez Konta rodzica, usuniemy je.
7. Czat i moderacja
- Wiadomości w Czacie widzą uczestnicy rozmowy oraz Rodzic przy Koncie dziecka. Nie czytamy rozmów rutynowo.
- Moderator ma dostęp do fragmentu rozmowy, gdy ktoś ją zgłosi albo gdy zautomatyzowane zabezpieczenia wykryją sygnały oszustwa lub zagrożenia dziecka. Każdy taki dostęp jest rejestrowany.
- Nie przesyłaj w Czacie danych szczególnie wrażliwych, np. o zdrowiu, jeśli nie jest to konieczne do Lekcji.
8. Profilowanie i decyzje automatyczne
- Kolejność wyników wyszukiwania ustalamy według parametrów opisanych w § 8 regulaminu. Nie profilujemy Użytkowników w celu personalizacji wyników.
- Operator płatności stosuje automatyczne mechanizmy wykrywania oszustw. Mogą one wstrzymać pojedynczą płatność. Możesz wtedy zażądać interwencji człowieka, wyrazić swoje stanowisko i zakwestionować decyzję, pisząc do nas.
- Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub w podobny sposób istotnie na Ciebie wpływają. Decyzje moderacyjne podejmuje człowiek.
9. Twoje prawa
W skrócie
Napisz na prywatnosc@korkify.pl, a odpowiemy w ciągu miesiąca. Większość rzeczy zrobisz też sam w ustawieniach konta.
- Masz prawo do: dostępu do danych i otrzymania ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia danych (w formacie nadającym się do odczytu maszynowego) oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.
- Zgodę (np. na newsletter albo cookies analityczne) możesz wycofać w każdej chwili: w ustawieniach powiadomień, w „Ustawieniach cookies” w stopce strony albo pisząc do nas. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania przed jej wycofaniem.
- Na żądania odpowiadamy w ciągu miesiąca. W złożonych sprawach termin może się wydłużyć o kolejne dwa miesiące, o czym poinformujemy.
- Masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl).
10. Bezpieczeństwo
- Stosujemy szyfrowane połączenie (HTTPS), hasła przechowujemy wyłącznie w postaci zaszyfrowanych skrótów, ograniczamy dostęp pracowników do niezbędnego minimum, rejestrujemy dostęp moderatorów i regularnie tworzymy kopie zapasowe.
- W razie naruszenia ochrony danych, które może powodować wysokie ryzyko dla Twoich praw, niezwłocznie Cię o tym poinformujemy.
11. Pliki cookies i podobne technologie
W skrócie
Pliki niezbędne działają zawsze, bo bez nich nie zalogujesz się ani nie zapłacisz. Analityczne i marketingowe włączamy tylko wtedy, gdy się na nie zgodzisz.
- Cookies to małe pliki zapisywane na Twoim urządzeniu. Podobnie działa pamięć przeglądarki (localStorage). Zgodnie z Prawem komunikacji elektronicznej przechowujemy i odczytujemy takie informacje bez zgody wyłącznie wtedy, gdy jest to niezbędne do świadczenia usługi, o którą prosisz. W pozostałych przypadkach pytamy o zgodę.
- Wybór zapisujemy na 12 miesięcy. Zmienisz go w każdej chwili przyciskiem „Ustawienia cookies” w stopce strony. Cookies możesz też usuwać i blokować w ustawieniach przeglądarki, ale wtedy część funkcji (np. logowanie) przestanie działać.
| Kategoria | Do czego | Przykłady i czas | Zgoda |
|---|---|---|---|
| Niezbędne | logowanie i sesja, bezpieczeństwo, zapamiętanie wyboru cookies, płatności i ochrona przed oszustwami przy płatności | sesja logowania (do wylogowania), korkify-cookies (12 mies.), __stripe_mid (1 rok), __stripe_sid (30 min) | nie wymagają |
| Analityczne | statystyki odwiedzin, żeby wiedzieć, które funkcje są używane i co poprawić | np. _ga, _ga_* (Google Analytics, do 2 lat) | tylko za zgodą |
| Marketingowe | mierzenie skuteczności naszych reklam w innych serwisach | np. _fbp (Meta, 3 mies.), tylko jeśli prowadzimy kampanie | tylko za zgodą |
12. Zmiany polityki
- Politykę aktualizujemy, gdy zmieniają się przepisy, dostawcy lub funkcje Serwisu. O istotnych zmianach informujemy e-mailem i komunikatem w Serwisie przed ich wejściem w życie.
- Aktualna wersja jest zawsze dostępna w stopce strony.