Polityka prywatności

1. Informacje ogólne i dane kontaktowe

Ta Polityka jest informacją, którą administrator danych ma obowiązek przekazać osobie, której dane dotyczą — przy zbieraniu danych od niej samej (art. 13 RODO) i przy otrzymaniu danych z innego źródła (art. 14 RODO). Opisuje, co robimy z Twoimi danymi, dlaczego wolno nam to robić i co możesz z tym zrobić.

Administratorem Twoich danych osobowych jest Company X sp. z o.o. z siedzibą w Warszawie, ul. Żelazna 51/53, 00-841 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS 0001246886, NIP: 5273222699, REGON: 544978227, kapitał zakładowy 5 000 zł. Edsy jest marką handlową tej spółki.

W sprawach danych osobowych napisz na [email protected] albo skorzystaj z formularza na stronie Kontakt. [DO USTALENIA: czy Operator wyznacza inspektora ochrony danych — jeśli tak, jego adres.]

Gdy konto zakłada Ci pracodawca, szkoła albo inna organizacja, to ona decyduje, jakie kursy Ci przypisze i kto po jej stronie widzi Twoje postępy — w tym zakresie administratorem jest ta organizacja, a my przetwarzamy dane na jej polecenie (art. 28 RODO). Po informację o jej własnych zasadach zwróć się do niej.

2. Najważniejsze zasady

Jeżeli masz przeczytać tylko jeden punkt, niech to będzie ten:

• Nie sprzedajemy danych i nie udostępniamy ich brokerom danych ani sieciom reklamowym.
• Nie używamy ciasteczek reklamowych ani analitycznych. Nie ma tu Google Analytics, Google Tag Managera, piksela Meta, LinkedIn Insight Tag ani TikTok Pixel — dlatego Edsy nie wyświetla banera zgody na ciasteczka. Pełną listę tego, co zapisujemy w przeglądarce, podajemy w pkt 12.
• Filmy z serwisów zewnętrznych nie ładują się same: w lekcji i na stronie kursu odtwarzacz pojawia się dopiero po kliknięciu „Odtwórz” (pkt 7 i 12).
• Nie wysyłamy komunikacji marketingowej bez Twojej osobnej zgody, którą możesz w każdej chwili wycofać.
• Mentor widzi imię i nazwisko kursanta, postęp, liczbę ukończonych zadań i ostatnią aktywność wyłącznie w swoich kursach. Nie otrzymuje treści odpowiedzi ani adresu e-mail kursanta. Opiekun organizacji widzi postępy w przypisanych kursach. Czat jest widoczny dla kursanta i mentora; operator otrzymuje treść zgłoszonej wiadomości po zgłoszeniu nadużycia.
• Kopię wszystkiego, co o Tobie mamy, pobierzesz sam jednym przyciskiem w ustawieniach konta („Pobierz moje dane”), a konto usuniesz bez pytania nas o zgodę (pkt 10).

3. Czym są dane osobowe

Dane osobowe to każda informacja o możliwej do zidentyfikowania osobie fizycznej (art. 4 pkt 1 RODO). Imię, adres e-mail i zdjęcie profilowe są danymi osobowymi w sposób oczywisty, ale są nimi także identyfikator konta, adres IP, odpowiedź, którą wpisałeś w zadaniu, i informacja o tym, kiedy ukończyłeś lekcję — bo wszystkie te informacje da się powiązać z konkretną osobą.

Przetwarzanie to każda operacja na danych: zebranie, zapisanie, przeglądanie, przekazanie dostawcy, usunięcie. Administrator to podmiot, który decyduje, po co i jak dane są przetwarzane — tu Company X sp. z o.o.. Podmiot przetwarzający robi to wyłącznie na polecenie administratora; naszych podmiotów przetwarzających wymieniamy w pkt 7.

Szczególnych kategorii danych (o zdrowiu, poglądach, przynależności, orientacji) nie zbieramy i nie prosimy o nie w żadnym formularzu. Jeżeli wpiszesz je z własnej inicjatywy — na przykład w odpowiedzi opisowej albo w wiadomości do nas — trafią do nas jako część tej treści; prosimy, żebyś tego nie robił.

4. Jakie dane przetwarzamy

• Konto: imię, adres e-mail, skrót hasła (scrypt), rola, język i — jeśli je dodasz — zdjęcie profilowe.
• Nauka: ukończone zadania i udzielone odpowiedzi (także odpowiedzi opisowe), czas w kursie, XP i osiągnięcia.
• Certyfikaty: imię i nazwisko na dokumencie, kurs, wynik i data — publicznie weryfikowalne przez każdego, kto zna identyfikator certyfikatu.
• Opinie o kursach: ocena i treść opinii — publikowane na stronie kursu razem z Twoim imieniem i zdjęciem profilowym.
• Ranking: XP i poziom z ukończonych zadań. W rankingu otwartej platformy (widzą go tylko zalogowani uczestnicy bez organizacji) pokazujemy imię i pierwszą literę nazwiska, bez zdjęcia; pełne imię i nazwisko oraz zdjęcie — tylko jeśli sam to włączysz w ustawieniach konta (zgoda, art. 6 ust. 1 lit. a RODO, możesz ją wycofać tym samym przełącznikiem). Ranking organizacji pokazuje jej członków tak, jak zdecydowała organizacja.
• Zamówienia: kurs, cena, data, status płatności i zgoda na natychmiastowy dostęp, a gdy odstąpisz od umowy — Twoje oświadczenie i decyzja w sprawie zwrotu; dane do faktury podane przy starszych zamówieniach (nazwa, NIP, adres) — o nowe już nie pytamy. Danych karty nie widzimy — zostają u operatora płatności.
• Wiadomości: treść wysłana przez formularz kontaktowy albo przycisk „zgłoś błąd” w lekcji, wraz z imieniem, adresem e-mail i adresem IP.
• Zgłoszenia treści (akt o usługach cyfrowych): kategoria, uzasadnienie i wskazana treść, a jeśli je podasz — imię i adres e-mail; do tego adres IP, a gdy jesteś zalogowany — identyfikator konta. Mentor, którego treść dotyczy, nie dostaje Twoich danych — tylko uzasadnienie naszej decyzji.
• Mentorzy: profil publiczny (nazwa, opis, zdjęcie) i materiały wgrane do budowy kursów.
• Rozliczenia mentorów: profil podatkowy (imię i nazwisko albo nazwa firmy, adres, kraj rezydencji podatkowej, PESEL albo zagraniczny numer podatkowy, data urodzenia, NIP i status VAT, urząd skarbowy, prawo do 50% kosztów autorskich, rachunek do przelewu), zestawienia należności, pobrany podatek, dokumenty rozliczeniowe oraz wynik kontroli listy sankcyjnej UE przed przelewem bankowym. PESEL, zagraniczny numer podatkowy i numer rachunku przechowujemy zaszyfrowane i nie pokazujemy ich w serwisie.
• Testy rekrutacyjne: imię, adres e-mail i odpowiedzi kandydata, który rozwiązuje test z zaproszenia.
• Dziennik bezpieczeństwa: logowania i ich niepowodzenia, zmiany hasła i adresu e-mail, blokady kont i działania administratorów na kontach, wraz ze skróconym adresem IP i czasem zdarzenia.
• Dane techniczne: adres IP (limity bezpieczeństwa i ochrona przed nadużyciami) oraz logi serwera.

5. Skąd mamy Twoje dane

Prawie wszystkie dane pochodzą od Ciebie: wpisujesz je przy rejestracji, przy zakupie, w ustawieniach konta i w trakcie nauki. Kilka źródeł jest innych i wymieniamy je tu, bo art. 14 RODO wymaga, żeby powiedzieć, skąd wzięliśmy dane, których nie podałeś nam sam:

• od Twojej organizacji, gdy to ona zakłada Ci konto: imię, adres e-mail, zespół i dział;
• od partnera rekrutacyjnego, gdy zaprasza Cię do rozwiązania testu: imię i adres e-mail kandydata oraz identyfikator zgłoszenia po jego stronie;
• od operatora płatności: status płatności, jej identyfikator, kwota i cztery ostatnie cyfry karty albo nazwa metody płatności — pełnych danych karty nigdy nie otrzymujemy;
• z Twojej przeglądarki i z warstwy sieciowej: adres IP, typ przeglądarki i czas żądania, zapisywane automatycznie przy każdym połączeniu.
• ze skonsolidowanej listy sankcji finansowych Unii Europejskiej: wpisy, z którymi porównujemy imię i nazwisko mentora przed przelewem bankowym jego wynagrodzenia;

Nie kupujemy danych, nie pobieramy ich z serwisów społecznościowych i nie wzbogacamy Twojego profilu informacjami z zewnętrznych baz.

6. Cele i podstawy prawne

Każdy cel ma swoją podstawę z art. 6 RODO. Bez podstawy nie przetwarzamy danych, a gdy podstawa odpada — przestajemy.

• Świadczenie usługi: prowadzenie konta, dostęp do kursów, zapis postępu, certyfikaty, zamówienia i dostarczanie treści cyfrowej — wykonanie umowy (art. 6 ust. 1 lit. b RODO).
• Wstępna ocena odpowiedzi opisowych przez model AI, jako element usługi nauki — wykonanie umowy (lit. b). Ocena jest pomocnicza; nie decyduje o Twoich prawach i możesz poprosić o sprawdzenie przez człowieka.
• Obowiązki prawne: dokumenty księgowe i podatkowe, obsługa reklamacji i odstąpień od umowy, rozpatrywanie zgłoszeń treści i uzasadnianie decyzji moderacyjnych (art. 16 i 17 aktu o usługach cyfrowych) — obowiązek prawny (lit. c).
• Rozliczenia z mentorami: wypłata wynagrodzenia licencyjnego — wykonanie umowy z mentorem (lit. b); pobór i przekazanie zaliczki na podatek albo podatku u źródła, informacje PIT-11 i IFT-1R, rachunki i faktury oraz kontrola przelewów wobec sankcji Unii Europejskiej — obowiązek prawny (lit. c).
• Bezpieczeństwo kont i Platformy: limity prób logowania, wykrywanie nadużyć, dziennik bezpieczeństwa — nasz prawnie uzasadniony interes w ochronie kont i usługi (lit. f).
• Odpowiadanie na wiadomości i prowadzenie korespondencji, ustalanie, dochodzenie i obrona roszczeń oraz statystyka działania Platformy liczona na danych zbiorczych — nasz prawnie uzasadniony interes (lit. f).
• Testy rekrutacyjne prowadzone na zlecenie pracodawcy albo partnera rekrutacyjnego. [DO USTALENIA: czy Operator jest tu administratorem, czy podmiotem przetwarzającym.]
• Pokazywanie pełnego imienia i nazwiska oraz zdjęcia w rankingu otwartej platformy oraz wysyłka komunikacji marketingowej — wyłącznie na podstawie Twojej zgody (lit. a), którą możesz wycofać w każdej chwili, tym samym przełącznikiem w ustawieniach konta. Wycofanie zgody nie wpływa na to, co zrobiliśmy na jej podstawie wcześniej.

Podanie danych jest dobrowolne, ale imię, adres e-mail i hasło są konieczne, żeby założyć konto; bez nich nie możemy wykonać umowy.

7. Komu przekazujemy dane

Dane przekazujemy tylko tym, bez których Platforma nie działa, i tylko w potrzebnym im zakresie. Nie sprzedajemy danych. Z każdym dostawcą, który przetwarza dane na nasze polecenie, mamy zawartą umowę powierzenia (art. 28 RODO).

• Vercel — hosting aplikacji: przez jego serwery przechodzi każde żądanie, łącznie z Twoim adresem IP.
• Neon — baza danych PostgreSQL, w której są przechowywane wszystkie dane konta, nauki i zamówień. [DO USTALENIA: region przechowywania.]
• Stripe — płatności, Stripe Connect (rachunek i wypłaty twórcy) oraz Stripe Identity (weryfikacja dokumentu tożsamości). Zdjęcia dokumentu przesyłasz bezpośrednio do Stripe. Edsy przechowuje identyfikatory i wynik weryfikacji, bez kopii zdjęć; upoważniony administrator może sprawdzić dokument w panelu Stripe przed zatwierdzeniem monetyzacji. Po usunięciu konta Edsy zleca redakcję danych sesji Identity; obowiązkowa dokumentacja finansowa podlega odrębnym terminom przechowywania.
• OpenAI — modele AI: (1) materiały, które mentor wgrywa, żeby zbudować kurs; (2) Twoje odpowiedzi opisowe w zadaniach „wypełnij dokument”, w polach bez klucza odpowiedzi — wysyłane do wstępnej oceny, gdy klikniesz „Sprawdź” (lekcja uprzedza o tym wcześniej); (3) treść ogłoszenia o pracę przesłana przez partnera rekrutacyjnego, z której powstaje test. Do odpowiedzi nie dołączamy Twojego imienia ani adresu e-mail.
• OVHcloud — wysyłka e-maili (potwierdzenia zamówień, zmiana hasła, odpowiedź na wiadomość): adres e-mail, imię i treść wiadomości.
• Partner rekrutacyjny [DO USTALENIA: nazwa] — przez API integracyjne otrzymuje wyniki testów rekrutacyjnych oraz, dla wskazanych przez siebie osób, umiejętności, postęp w kursach i certyfikaty.
• YouTube (Google) i Vimeo — filmy w lekcjach i na stronach kursów. W odtwarzaczu lekcji i na stronie kursu odtwarzacz ładuje się dopiero po kliknięciu „Odtwórz” — YouTube z domeny youtube-nocookie.com, Vimeo z wyłączonym śledzeniem; od tej chwili dostawca filmu otrzymuje Twój adres IP i informacje o przeglądarce. Wyjątek: film, który mentor osadził bezpośrednio w tekście lekcji, ładuje się razem z lekcją (także z youtube-nocookie.com albo odtwarzacza Vimeo).
• Organizacja, która założyła Ci konto — jej opiekunowie widzą Twój postęp w przypisanych kursach.
• Mentor kursu — imię i nazwisko, postęp, ukończone zadania i ostatnia aktywność w jego kursach oraz wspólna korespondencja. Nie otrzymuje adresu e-mail ani treści odpowiedzi.
• Podmioty uprawnione na podstawie przepisów prawa: sądy, prokuratura, organy podatkowe i inne organy, gdy wystąpią z żądaniem w granicach swoich kompetencji; a także nasi doradcy prawni i księgowi w zakresie potrzebnym do obsługi sprawy.
• Urząd skarbowy — jako płatnik przekazujemy informacje PIT-11 albo IFT-1R o wynagrodzeniu mentora i pobranym podatku.

Vercel, Stripe, OpenAI, Google i Vimeo mają siedziby w USA; przekazanie danych odbywa się na podstawie [DO USTALENIA: standardowe klauzule umowne albo EU-US Data Privacy Framework — do potwierdzenia w umowach powierzenia]. Kopię zabezpieczeń zastosowanych przy takim przekazaniu udostępnimy na Twoje żądanie (art. 46 ust. 1 RODO).

Materiały wgrane przez mentora służą wyłącznie do zbudowania jego kursu: nie są używane do trenowania modeli AI, a mentor może je usunąć w każdej chwili.

8. Jak długo przechowujemy dane

Trzymamy dane tylko tak długo, jak potrzebujemy ich do celu, dla którego je zebraliśmy, albo tak długo, jak każą nam przepisy. Poniżej okresy dla poszczególnych kategorii.

• Dane konta i nauki — przez czas istnienia konta. Po jego usunięciu znikają od razu z systemów produkcyjnych, a z kopii zapasowych w ciągu 30 dni.
• Certyfikaty — bezterminowo, żeby publiczna weryfikacja po numerze działała także za kilka lat. Po usunięciu konta certyfikat zostaje wycofany: strona weryfikacji podaje już tylko, że wycofano go na prośbę posiadacza, bez imienia i nazwiska.
• Zamówienia i dokumenty księgowe — 5 lat od końca roku podatkowego (przepisy podatkowe). Jeśli usuniesz konto, na którym są zamówienia, anonimizujemy je: zamówienia (kwoty, daty, dane do faktury) zostają na ten okres, a imię, adres e-mail, postęp, osiągnięcia i opinie usuwamy.
• Prywatny czat kursu — przez okres istnienia kont rozmówców; usunięcie jednego z kont usuwa rozmowę. Zgłoszona wiadomość może pozostać w zgłoszeniu nadużycia. Znacznik pierwszego wykonania zadania zachowujemy przy zamówieniu jako dowód warunków zwrotu; nie zawiera odpowiedzi.
• Materiały wgrane przez mentora — do chwili, w której mentor je usunie albo usunie kurs lub konto; z kopii zapasowych znikają w ciągu 30 dni.
• Profil podatkowy, zestawienia, pobrany podatek i wyniki kontroli sankcyjnej mentora — 5 lat od końca roku, w którym powstał obowiązek podatkowy (Ordynacja podatkowa), także po usunięciu konta; numer rachunku usuwamy razem z kontem. Profil, na podstawie którego nic nie rozliczono, usuwamy razem z kontem.
• Wiadomości z formularza kontaktowego i zgłoszenia błędów — przez okres przedawnienia roszczeń, których mogą dotyczyć: co do zasady 6 lat (art. 118 Kodeksu cywilnego). Po usunięciu konta wiadomość traci imię, adres e-mail i adres IP, a zostaje sama jej treść.
• Zgłoszenia treści i decyzje w ich sprawie — przez 6 miesięcy przewidziane na odwołanie (pkt 16 Regulaminu), a dalej przez okres przedawnienia roszczeń związanych z decyzją, co do zasady 6 lat. Jeśli usuniesz konto, zgłoszenie zostaje, ale bez Twojego imienia, adresu e-mail i adresu IP.
• Testy rekrutacyjne — [DO USTALENIA: okres, zgodnie z umową z partnerem rekrutacyjnym].
• Dziennik bezpieczeństwa (logowania, zmiany hasła i adresu, blokady, działania administratorów na kontach) — 365 dni. Adres IP zapisujemy skrócony (bez ostatniej części), a przy nieudanym logowaniu na adres bez konta — tylko skrót (hash) wpisanego adresu. Podstawa: nasz prawnie uzasadniony interes w ochronie kont (art. 6 ust. 1 lit. f RODO).
• Kolejka wysyłanych e-maili — wiersz dotyczący konta usuwamy razem z kontem, a wiersz dotyczący zamówienia razem z zamówieniem (5 lat). Liczniki limitów bezpieczeństwa kasujemy 2 dni po zamknięciu okna limitu, a jednorazowe linki do konta (reset hasła, potwierdzenie adresu, zaproszenie) — 24 godziny po ich zużyciu albo wygaśnięciu.
• Logi serwera prowadzone przez dostawcę hostingu — zgodnie z jego polityką; sięgamy do nich wyłącznie przy diagnozowaniu awarii. [DO USTALENIA: okres retencji logów po stronie dostawcy hostingu.]

9. Prawo do sprzeciwu

Wobec przetwarzania, które opieramy na naszym prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO — bezpieczeństwo, obsługa korespondencji, roszczenia, statystyka), przysługuje Ci prawo sprzeciwu z przyczyn związanych z Twoją szczególną sytuacją (art. 21 ust. 1 RODO).

Po otrzymaniu sprzeciwu przestajemy przetwarzać dane w tym celu, chyba że wykażemy istnienie ważnych prawnie uzasadnionych podstaw nadrzędnych wobec Twoich interesów, praw i wolności — albo podstaw do ustalenia, dochodzenia lub obrony roszczeń. Odpowiadamy z uzasadnieniem.

Gdybyśmy kiedykolwiek przetwarzali dane na potrzeby marketingu bezpośredniego, sprzeciw wobec takiego przetwarzania jest bezwarunkowy: wystarczy go zgłosić i natychmiast przestajemy (art. 21 ust. 2 i 3 RODO). Dziś marketing wysyłamy wyłącznie na podstawie zgody, którą można wycofać jednym kliknięciem w stopce wiadomości.

Sprzeciw zgłoś na [email protected] — napisz, którego przetwarzania dotyczy i na czym polega Twoja szczególna sytuacja.

10. Twoje pozostałe prawa

Masz prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i przeniesienia. Zgodę możesz wycofać w każdej chwili, a wycofanie nie wpływa na zgodność z prawem tego, co zrobiliśmy wcześniej.

Z każdego z tych praw skorzystasz, pisząc na [email protected] albo przez formularz na stronie Kontakt — odpowiemy w ciągu miesiąca. Część spraw załatwisz sam w ustawieniach konta: zmienisz imię, hasło i adres e-mail, pobierzesz kopię swoich danych w jednym pliku JSON („Pobierz moje dane”) i usuniesz konto.

Konto bez zamówień usuwamy w całości. Konto z zamówieniami anonimizujemy, bo dokumenty sprzedaży musimy przechowywać (pkt 8). Konto mentora, którego kurs jest opublikowany albo ma uczestników, zamkniemy po kontakcie z nami — kurs trzeba najpierw przekazać albo wygasić.

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne albo w podobny sposób istotnie na Ciebie wpływały (art. 22 RODO). Automatyczne sprawdzanie odpowiedzi w zadaniach i wstępna ocena przez model AI nie należą do tej kategorii: nie rozstrzygają o Twoich prawach, a wynik możesz zakwestionować u człowieka. Nie profilujemy Cię do celów marketingowych.

Masz też prawo wnieść skargę do organu nadzorczego — w Polsce do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl) — albo do organu właściwego dla Twojego miejsca zwykłego pobytu lub pracy.

11. Bezpieczeństwo

Hasła przechowujemy wyłącznie jako skróty (scrypt), sesje są podpisane kryptograficznie, połączenia szyfrowane, a próby logowania i rejestracji są limitowane. Klucze odpowiedzi nie trafiają do przeglądarki ucznia przed udzieleniem odpowiedzi.

Dostęp do danych po naszej stronie mają wyłącznie osoby, które potrzebują go do pracy, i tylko w potrzebnym zakresie; działania administratorów na kontach zapisujemy w dzienniku bezpieczeństwa (pkt 4 i 8). Podatności zgłaszaj na adres wskazany w pliku /.well-known/security.txt.

Naruszenie ochrony danych, które może powodować ryzyko dla Twoich praw, zgłaszamy organowi nadzorczemu w ciągu 72 godzin, a gdy ryzyko jest wysokie — zawiadamiamy również Ciebie (art. 33 i 34 RODO).

12. Pliki cookie i pamięć przeglądarki

Używamy wyłącznie plików i wpisów niezbędnych do działania Platformy albo do zapamiętania Twoich ustawień. Nie używamy ciasteczek reklamowych ani analitycznych, więc nie prosimy o zgodę na ciasteczka: art. 173 ust. 3 Prawa telekomunikacyjnego zwalnia z niej pliki niezbędne do świadczenia usługi żądanej przez użytkownika.

Filmy YouTube i Vimeo w odtwarzaczu lekcji i na stronie kursu ładują się dopiero po kliknięciu „Odtwórz” (film osadzony przez mentora w tekście lekcji — razem z lekcją). Od tej chwili YouTube (Google) może zapisać w Twojej przeglądarce własne identyfikatory, na zasadach polityki prywatności Google. Zapamiętany wybór cofniesz jednym kliknięciem pod filmem.

Poniżej pełna lista. Pamięć przeglądarki (localStorage) nie jest wysyłana do serwera — zostaje na Twoim urządzeniu, dopóki jej nie wyczyścisz. Ciasteczka usuniesz w ustawieniach przeglądarki; usunięcie ciasteczka sesji po prostu Cię wyloguje.

13. Postanowienia końcowe

Politykę aktualizujemy, gdy zmienia się Platforma, lista odbiorców danych albo przepisy. Numer wersji i data, od której obowiązuje, są podane na górze strony; o istotnych zmianach informujemy w Platformie, a gdy zmiana dotyczy zakresu przetwarzania danych zalogowanych Użytkowników — także e-mailem.

Politykę publikujemy po polsku, angielsku i francusku; podstawą jest wersja polska, a tłumaczenia mają ułatwić lekturę. Zasady korzystania z Platformy opisuje Regulamin, a zasady dla autorów kursów — Regulamin mentora.