Dokument obowiązujący
Polityka prywatności serwisu TeoriaPilota
1. Administrator danych
Administratorem Twoich danych osobowych jest Jet Lark spółka z ograniczoną odpowiedzialnością (Jet Lark sp. z o.o.) z siedzibą w Katowicach, ul. 3 Maja 22/2C, 40-096 Katowice, NIP 6343049925, KRS 0001147238. Kontakt w sprawach danych osobowych: [email protected], tel. +48 788 993 505. Nie wyznaczyliśmy inspektora ochrony danych; wszystkie sprawy związane z danymi osobowymi możesz kierować na powyższy adres e-mail.
Polityka dotyczy serwisu TeoriaPilota: strony https://teoriapilota.pl oraz aplikacji https://app.teoriapilota.pl.
2. Jakie dane przetwarzamy i po co
| Cel | Dane | Podstawa prawna (RODO) |
|---|---|---|
| Założenie i prowadzenie konta, logowanie kontem Google | niezmienny identyfikator konta Google, adres e-mail, imię (lub nazwa konta), daty logowań (bieżącego i poprzedniego), preferencje wyglądu (tryb jasny/ciemny) | art. 6 ust. 1 lit. b (wykonanie umowy o świadczenie usługi konta) |
| Świadczenie usługi: dostęp do treści, zapamiętanie postępu nauki | lista przeczytanych tematów wraz z datą oznaczenia, stan dostępu do treści płatnych | art. 6 ust. 1 lit. b |
| Płatności i rozliczenia za Pełny Dostęp | identyfikatory sesji i płatności w Stripe, kwota, waluta, okres dostępu, dane do faktury podane przy płatności (e-mail, imię i nazwisko/nazwa, adres, NIP) | art. 6 ust. 1 lit. b (umowa) oraz lit. c (obowiązki podatkowe i rachunkowe) |
| Potwierdzenie zawarcia umowy (e-mail na trwałym nośniku) oraz dowód oświadczeń złożonych przy zakupie (wersja regulaminu, chwila złożenia oświadczeń) | wersja regulaminu, znacznik czasu oświadczeń, identyfikator konta | art. 6 ust. 1 lit. c RODO w związku z art. 21 ust. 1 ustawy o prawach konsumenta (obowiązek przekazania potwierdzenia) oraz lit. f: nasz prawnie uzasadniony interes polegający na możliwości wykazania, że spełniliśmy wymogi dotyczące zawarcia umowy i dostarczania treści cyfrowych, oraz obrony przed roszczeniami |
| Bezpieczeństwo i zapobieganie nadużyciom (ochrona przed atakami, limity żądań, zapobieganie obchodzeniu zabezpieczeń dostępu) | adres IP, znaczniki czasu, adres strony, identyfikator przeglądarki w logach serwera i dostawców infrastruktury, identyfikator konta w logach zdarzeń | art. 6 ust. 1 lit. f (prawnie uzasadniony interes: bezpieczeństwo serwisu i ochrona przed nadużyciami) |
| Statystyki oglądalności serwisu (które strony i tematy są czytane, z jakich typów urządzeń) | adres odwiedzanej strony, odsyłacz, język, rozmiar ekranu, przeglądarka i system w postaci uproszczonej; bez cookies, bez identyfikatora osoby, adres IP nie jest zapisywany | art. 6 ust. 1 lit. f (nasz prawnie uzasadniony interes: rozwój serwisu i ocena, które treści są potrzebne); możesz wnieść sprzeciw (pkt 7) lub włączyć w przeglądarce sygnał Do Not Track, który wyłącza pomiar |
| Przypomnienia o ofercie e-mailem (marketing bezpośredni, tylko za Twoją zgodą) | adres e-mail, imię, informacja o zgodzie (czy i kiedy została udzielona lub wycofana), liczba i data wysłanych przypomnień | art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 10 ustawy o świadczeniu usług drogą elektroniczną i art. 398 Prawa komunikacji elektronicznej; zgoda jest dobrowolna i nie jest warunkiem korzystania z serwisu ani zakupu |
| Obsługa zgłoszeń i reklamacji | dane z korespondencji (adres e-mail, treść wiadomości, ewentualne inne dane podane przez Ciebie) | art. 6 ust. 1 lit. b (gdy dotyczy umowy) i lit. f (nasz interes: rzetelna obsługa zapytań i reklamacji) |
| Ustalenie, dochodzenie lub obrona roszczeń | dane niezbędne do ochrony naszych praw, w tym wymienione powyżej | art. 6 ust. 1 lit. f |
Zgodę na e-maile o ofercie (przypomnienia o zakupie) możesz wyrazić przy zakładaniu konta albo w ustawieniach aplikacji. Jest dobrowolna, domyślnie wyłączona i możesz ją wycofać w dowolnym momencie (ustawienia aplikacji albo link „Wypisz się" w każdej wiadomości), bez wpływu na zgodność z prawem przetwarzania przed jej wycofaniem. Wysyłamy najwyżej trzy przypomnienia po założeniu konta, tylko osobom, które nie kupiły dostępu. Wiadomości dotyczące zakupu (potwierdzenie zawarcia umowy) wysyłamy niezależnie od zgody. Nie wysyłamy newslettera, nie profilujemy Użytkowników i nie korzystamy z narzędzi reklamowych. Mierzymy wyłącznie zbiorczą oglądalność serwisu własnym narzędziem Umami (patrz pkt 9).
3. Skąd mamy dane
Dane konta (identyfikator, adres e-mail, imię) pochodzą od Google w ramach logowania, które sam wykonujesz. Dane o płatności pochodzą od Stripe. Pozostałe dane podajesz Ty lub powstają w trakcie korzystania z serwisu (postęp nauki, preferencje, logi techniczne).
4. Komu przekazujemy dane
Dane przekazujemy wyłącznie podmiotom niezbędnym do świadczenia usługi, na podstawie umów powierzenia przetwarzania lub innych podstaw prawnych:
- Google (Google Ireland Limited / Google LLC): uwierzytelnianie za pomocą konta Google. Google przetwarza dane logowania we własnym zakresie jako odrębny administrator (polityka prywatności Google).
- Stripe (Stripe Payments Europe, Ltd., Irlandia): obsługa płatności i generowanie dokumentów sprzedaży. Działa na nasze zlecenie jako podmiot przetwarzający (umowa powierzenia Stripe DPA), a także jako odrębny administrator w zakresie, w jakim samodzielnie określa cele przetwarzania (m.in. zapobieganie oszustwom, wymogi prawne i regulacyjne wobec instytucji płatniczych); szczegóły: polityka prywatności Stripe. Nie mamy dostępu do pełnych danych karty.
- Resend (Resend, Inc., USA; serwery wysyłkowe w Irlandii, UE; podmiot przetwarzający na podstawie umowy powierzenia): wysyłka wiadomości e-mail z potwierdzeniem zawarcia umowy oraz (za zgodą) przypomnień o ofercie. Do Resend trafiają Twój adres e-mail oraz treść wiadomości (m.in. wybrany plan, kwota, treść oświadczeń złożonych przy zakupie i wersja regulaminu).
- Umami (własna instancja Jet Lark na serwerach w UE, bez udostępniania danych osobom trzecim): statystyki oglądalności bez cookies.
- Cloudflare (Cloudflare, Inc.; podmiot przetwarzający na podstawie umowy powierzenia): ochrona i przyspieszanie ruchu (DNS, serwer pośredniczący, zabezpieczenia), co wiąże się z przetwarzaniem adresów IP i danych technicznych połączeń.
- Dostawca hostingu i bazy danych (podmiot przetwarzający na podstawie umowy powierzenia, art. 28 RODO; serwery w Unii Europejskiej): przechowywanie aplikacji, bazy danych i logów technicznych.
- Dostawcy usług poczty i obsługi biura, w tym usług księgowych i prawnych: w zakresie niezbędnym do obsługi korespondencji, rozliczeń i dochodzenia roszczeń.
- Organy publiczne i inne uprawnione podmioty, jeżeli obowiązek przekazania danych wynika z przepisów prawa.
Nie sprzedajemy danych osobowych i nie udostępniamy ich w celach marketingowych.
5. Przekazywanie danych poza EOG
Niektórzy dostawcy (Google, Stripe, Resend, Cloudflare) mogą przekazywać dane do Stanów Zjednoczonych. Przekazanie odbywa się na podstawie decyzji wykonawczej Komisji Europejskiej z 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony w ramach Ram Ochrony Danych UE-USA (EU-US Data Privacy Framework), jeżeli dany odbiorca jest uczestnikiem tych Ram, a w pozostałych przypadkach na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO) wraz z dodatkowymi środkami ochrony. Kopię zastosowanych zabezpieczeń (np. standardowych klauzul umownych) możesz uzyskać, pisząc na adres [email protected].
6. Jak długo przechowujemy dane
- Dane konta i postępu nauki: do czasu usunięcia konta. Konto możesz usunąć w dowolnej chwili w aplikacji (menu konta → Usuń konto); usunięcie kasuje u nas postęp, preferencje i powiązanie konta z zakupami.
- Dokumenty księgowe i dane rozliczeniowe (faktury, potwierdzenia płatności prowadzone w Stripe i w naszej księgowości): przez okres wymagany przepisami o rachunkowości (5 lat od początku roku następującego po roku obrotowym, którego dotyczą, art. 74 ustawy o rachunkowości) oraz przepisami podatkowymi, tj. do upływu przedawnienia zobowiązania podatkowego (co do zasady 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku, art. 70 § 1 Ordynacji podatkowej).
- Dowód oświadczeń złożonych przy zakupie: do upływu terminu przedawnienia roszczeń (co do zasady 6 lat od końca roku kalendarzowego); po usunięciu konta usuwamy powiązanie z identyfikatorem konta Google, adresem e-mail i imieniem.
- Logi techniczne (adresy IP, żądania): do 30 dni, a w razie incydentu bezpieczeństwa dłużej, do jego wyjaśnienia.
- Zgoda na e-maile o ofercie: do jej wycofania lub usunięcia konta; po wycofaniu przechowujemy informację o wycofaniu (data) do czasu usunięcia konta, żeby nie wysyłać wiadomości wbrew Twojej decyzji.
- Korespondencja i reklamacje: przez czas ich obsługi, a następnie do upływu okresu przedawnienia roszczeń.
7. Twoje prawa
Przysługuje Ci prawo do: dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych (dotyczy danych przetwarzanych na podstawie umowy lub zgody) oraz cofnięcia zgody na e-maile o ofercie w dowolnym momencie. Aby skorzystać z tych praw, napisz na [email protected]. W aplikacji możesz samodzielnie pobrać swoje dane (menu konta → Pobierz moje dane) i usunąć konto (menu konta → Usuń konto).
Sprzeciw. Masz prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania Twoich danych opartego na naszym prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO) z przyczyn związanych z Twoją szczególną sytuacją. Po otrzymaniu sprzeciwu zaprzestaniemy przetwarzania, chyba że wykażemy ważne prawnie uzasadnione podstawy, które są nadrzędne wobec Twoich interesów, albo podstawy do ustalenia, dochodzenia lub obrony roszczeń.
Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stanisława Moniuszki 1A, 00-014 Warszawa; uodo.gov.pl), jeżeli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem.
8. Dobrowolność i decyzje automatyczne
Podanie danych jest dobrowolne, ale niezbędne do założenia konta (warunek zawarcia umowy; bez nich nie możemy świadczyć usługi), korzystania z aplikacji i zakupu Pełnego Dostępu. Podanie danych do faktury jest wymagane przepisami podatkowymi, jeżeli chcesz otrzymać fakturę; bez nich nie wystawimy faktury na te dane. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, wywołujących skutki prawne lub podobnie istotnie na Ciebie wpływających. Automatycznie jest jedynie przyznawany lub cofany dostęp do treści płatnych na podstawie potwierdzenia płatności lub zwrotu.
9. Pliki cookie i pamięć przeglądarki
Nie używamy plików cookie do celów analitycznych, reklamowych ani śledzących. Statystyki oglądalności zbieramy narzędziem Umami, które nie zapisuje niczego na Twoim urządzeniu, nie tworzy profilu i nie rozpoznaje Cię między wizytami. Korzystamy wyłącznie z plików cookie i pamięci przeglądarki niezbędnych do świadczenia żądanej przez Ciebie usługi (art. 399 ust. 3 pkt 2 Prawa komunikacji elektronicznej), które nie wymagają Twojej zgody:
| Nazwa | Rodzaj | Cel | Czas |
|---|---|---|---|
__Host-tp.session | cookie (HttpOnly, Secure, SameSite=Strict) | utrzymanie zalogowania | do 7 dni (przesuwane przy używaniu) lub do wylogowania |
__Host-tp.csrf | cookie (HttpOnly, Secure, SameSite=Strict) | ochrona przed fałszowaniem żądań (CSRF) | sesja przeglądarki |
__Host-tp.nonce | cookie (HttpOnly, Secure, SameSite=Strict) | zabezpieczenie logowania kontem Google przed przejęciem tokenu | 5 minut |
tp-theme | pamięć lokalna przeglądarki | zapamiętanie trybu wyglądu (jasny/ciemny/systemowy) | do czasu usunięcia danych przeglądarki |
ppl-exp | pamięć lokalna przeglądarki | zapamiętanie rozwiniętych przedmiotów w spisie treści | do czasu usunięcia danych przeglądarki |
Przy logowaniu ładowany jest skrypt Google (accounts.google.com), co powoduje przesłanie do Google adresu IP i danych przeglądarki; Google może zapisywać własne pliki cookie zgodnie z swoją polityką prywatności. Strona płatności Stripe jest hostowana przez Stripe i podlega jego zasadom dotyczącym plików cookie (polityka cookies Stripe); Stripe może stosować pliki cookie niezbędne do zapobiegania oszustwom. Nie mamy wpływu na te pliki. Możesz zablokować lub usunąć pliki cookie w ustawieniach przeglądarki, co uniemożliwi jednak zalogowanie.
10. Bezpieczeństwo danych
Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka, w tym szyfrowanie połączeń (HTTPS), szyfrowane połączenie z bazą danych, ograniczenie dostępu do danych, ciasteczka sesyjne niedostępne dla skryptów, ochronę przed atakami typu CSRF oraz ograniczanie liczby żądań. Nie przechowujemy haseł ani danych kart płatniczych.
11. Osoby niepełnoletnie i zmiany polityki
Serwis jest kierowany do osób pełnoletnich. Osoby poniżej 18. roku życia mogą z niego korzystać wyłącznie za wiedzą i zgodą rodziców lub opiekunów prawnych. Jeżeli dowiemy się, że dane małoletniego zostały przetworzone bez takiej zgody, usuniemy je na żądanie rodzica lub opiekuna.
Politykę możemy zmieniać, w szczególności w związku ze zmianą przepisów lub zakresu usług. Aktualna wersja jest zawsze dostępna na tej stronie wraz z datą obowiązywania. O istotnych zmianach poinformujemy w aplikacji.