Polityka prywatności - Serwis Egzaminy Zawodowe

1. Postanowienia ogólne

1. Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych użytkowników aplikacji "Egzaminy Zawodowe" (dalej: "Aplikacja"), dostępnej pod adresem https://zawodowe.edu.pl oraz za pośrednictwem aplikacji mobilnych na platformach iOS (App Store) i Android (Google Play).
2. Administratorem danych osobowych jest Bartosz Bryniarski, z siedzibą w Wita Stwosza 28/110, 58-560 Jelenia Góra, NIP 6112120787, e-mail: [email protected] (dalej: "Administrator").
3. Administrator przetwarza dane osobowe zgodnie z obowiązującymi przepisami prawa, w tym Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO).

2. Zakres i cel przetwarzania danych

1. Aplikacja przetwarza dane osobowe niezbędne do jej funkcjonowania, w tym:
   - imię i nazwisko,
   - adres e-mail,
   - historię wykonywanych egzaminów oraz postępy ucznia,
   - treści wiadomości wysyłanych przez system komunikacji,
   - nazwę szkoły (w przypadku nauczycieli),
   - dane techniczne związane z korzystaniem z Aplikacji (np. adres IP, dane logowania, identyfikator urządzenia mobilnego),
   - informacje zwrotne i raporty w ramach programu testowania nowych funkcjonalności,
   - treści pytań, odpowiedzi oraz materiały graficzne tworzone przez nauczycieli w ramach funkcji własnych pytań,
   - tokeny autoryzacyjne usług zewnętrznych OAuth (Google, Apple, Microsoft) — w przypadku logowania przez te usługi.

2. Dane osobowe przetwarzane są w celu:
   - umożliwienia rejestracji i logowania do Aplikacji (w tym za pośrednictwem usług zewnętrznych),
   - realizacji funkcjonalności Aplikacji (prowadzenie egzaminów, monitorowanie postępów uczniów przez nauczycieli),
   - zarządzania relacjami uczeń-nauczyciel oraz przekazywania dostępu między nauczycielami,
   - zarządzania rodzajami kont (konto podstawowe, konto ucznia, konto nauczyciela) oraz procesem upgrade'u kont,
   - obsługi systemu wiadomości między użytkownikami,
   - prowadzenia programu testowania nowych funkcjonalności i zbierania informacji zwrotnych,
   - zapewnienia bezpieczeństwa Aplikacji i jej użytkowników,
   - moderacji treści i zapobiegania nadużyciom,
   - prezentacji informacji referencyjnych o szkołach korzystających z Aplikacji,
   - wyświetlania reklam użytkownikom kont podstawowych i osobom niezalogowanym,
   - realizacji obowiązków prawnych ciążących na Administratorze,
   - obsługi systemu poziomów dostępu (Tier) oraz monitorowania aktywności na potrzeby jego funkcjonowania.

3. Podstawy prawne przetwarzania

1. Administrator przetwarza dane osobowe na podstawie:
   - art. 6 ust. 1 lit. b RODO (niezbędność do wykonania umowy o świadczenie usług drogą elektroniczną),
   - art. 6 ust. 1 lit. c RODO (wypełnienie obowiązku prawnego ciążącego na Administratorze),
   - art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora, obejmujący monitorowanie bezpieczeństwa Aplikacji, moderację treści, rozwój i testowanie nowych funkcjonalności, wyświetlanie reklam w celu finansowania bezpłatnego dostępu do Aplikacji oraz promocję usługi poprzez prezentację referencji),
   - art. 6 ust. 1 lit. a RODO (zgoda na publiczne wyświetlanie nazwy szkoły w celach referencyjnych oraz zgoda na udział w programie testowania nowych funkcjonalności).

4. System wiadomości - szczególne zasady przetwarzania

1. Treści wiadomości wysyłanych przez system komunikacji są przetwarzane jako dane osobowe.
2. Podstawą prawną przetwarzania treści wiadomości jest art. 6 ust. 1 lit. b RODO (niezbędność do świadczenia usługi komunikacji).
3. Administrator ma prawo dostępu do treści wiadomości wyłącznie w przypadkach:
   - zgłoszenia naruszenia regulaminu przez użytkownika,
   - konieczności zapewnienia bezpieczeństwa systemu,
   - realizacji obowiązków prawnych.
4. Wiadomości są przechowywane przez okres korzystania z Aplikacji oraz dodatkowo 12 miesięcy po usunięciu konta w celach bezpieczeństwa i rozstrzygania sporów.

5. Własne pytania nauczyciela - szczególne zasady przetwarzania

1. Treści pytań, odpowiedzi oraz materiały graficzne (obrazki) tworzone przez nauczycieli w ramach funkcji własnych pytań są przechowywane na serwerach Aplikacji.
2. Podstawą prawną przetwarzania tych danych jest art. 6 ust. 1 lit. b RODO (niezbędność do świadczenia usługi tworzenia arkuszy egzaminacyjnych).
3. Materiały te są widoczne wyłącznie dla nauczyciela, który je utworzył, oraz dla uczniów rozwiązujących arkusze zawierające te pytania.
4. W przypadku usunięcia konta nauczyciela, pytania wykorzystane w już przeprowadzonych egzaminach zostają zanonimizowane (odłączone od danych osobowych nauczyciela), a pytania niewykorzystane — trwale usunięte.
5. Nauczyciel ponosi odpowiedzialność za treści zamieszczane w pytaniach, w tym za zgodność z prawem autorskim, prawami osób trzecich oraz regulaminem Aplikacji.

6. Logowanie przez usługi zewnętrzne (OAuth) - szczególne zasady przetwarzania

1. Aplikacja umożliwia logowanie za pośrednictwem zewnętrznych dostawców tożsamości przy użyciu protokołu OAuth 2.0 / OpenID Connect. Obsługiwane usługi:
   - Google — protokół OAuth 2.0,
   - Apple — Sign in with Apple (OpenID Connect),
   - Microsoft — Microsoft Identity Platform (OAuth 2.0 / OpenID Connect), obsługująca zarówno konta osobiste (Outlook, Hotmail), jak i konta szkolne/organizacyjne (Azure AD / Microsoft 365 for Education).
2. Korzystanie z logowania przez usługi zewnętrzne jest dobrowolne.
3. W ramach procesu logowania przez usługę zewnętrzną Aplikacja żąda dostępu wyłącznie do następujących danych:
   - identyfikator użytkownika (openid),
   - adres e-mail,
   - imię, nazwisko i zdjęcie profilowe (jeśli dostępne).
4. Aplikacja nie żąda i nie uzyskuje dostępu do żadnych innych usług zewnętrznych, w szczególności: poczty, dysków, kalendarzy, kontaktów ani innych aplikacji.
5. W przypadku logowania przez Apple, użytkownik może wybrać ukrycie swojego adresu e-mail za pomocą usługi Apple Private Relay. W takim przypadku Aplikacja otrzymuje anonimowy adres e-mail przekierowujący wiadomości do rzeczywistej skrzynki użytkownika.
6. Tokeny autoryzacyjne usług zewnętrznych (access token, refresh token, id token) są przechowywane w zaszyfrowanej formie w bazie danych Aplikacji i służą wyłącznie do uwierzytelniania użytkownika.
7. Podstawą prawną przetwarzania danych uzyskanych z usług zewnętrznych jest art. 6 ust. 1 lit. b RODO (niezbędność do świadczenia usługi logowania).
8. Użytkownik może w każdej chwili cofnąć dostęp Aplikacji do swojego konta zewnętrznego:
   - Google: https://myaccount.google.com/permissions,
   - Apple: Ustawienia urządzenia → Apple ID → Hasło i zabezpieczenia → Logowanie za pomocą Apple,
   - Microsoft: https://account.live.com/consent/Manage.
   Cofnięcie dostępu nie powoduje usunięcia konta w Aplikacji — użytkownik może nadal logować się za pomocą adresu e-mail i hasła.
9. W przypadku niepowodzenia procesu rejestracji lub logowania przez usługę zewnętrzną, wszelkie częściowo zapisane dane autoryzacyjne (tokeny) są automatycznie usuwane.
10. W przypadku usunięcia konta użytkownika, tokeny autoryzacyjne usług zewnętrznych są trwale usuwane.

7. Reklamy i dane przetwarzane na ich potrzeby

1. Użytkownikom kont podstawowych oraz osobom niezalogowanym wyświetlane są reklamy dostarczane przez zewnętrznych dostawców usług reklamowych.
2. W związku z wyświetlaniem reklam mogą być przetwarzane dane techniczne użytkownika (np. adres IP, identyfikator urządzenia, informacje o przeglądarce) przez zewnętrznych dostawców reklam, zgodnie z ich własnymi politykami prywatności.
3. Administrator nie przekazuje zewnętrznym dostawcom reklam danych osobowych użytkowników (takich jak imię, nazwisko, e-mail) — dostawcy reklam mogą jednak samodzielnie zbierać dane techniczne za pomocą plików cookies i innych technologii śledzących.
4. Podstawą prawną przetwarzania danych w celu wyświetlania reklam jest art. 6 ust. 1 lit. f RODO (uzasadniony interes Administratora w finansowaniu bezpłatnego dostępu do Aplikacji).

8. Aplikacja mobilna - szczególne zasady przetwarzania

1. Aplikacja mobilna przetwarza te same kategorie danych osobowych co wersja webowa.
2. Dodatkowo aplikacja mobilna może przetwarzać:
   - identyfikator urządzenia mobilnego (na potrzeby logowania i bezpieczeństwa),
   - dane dotyczące systemu operacyjnego i wersji aplikacji (na potrzeby diagnostyki i wsparcia technicznego),
   - dane przechowywane lokalnie na urządzeniu użytkownika (baza pytań do pracy offline, postępy, ustawienia).
3. Dane przechowywane lokalnie na urządzeniu są pod kontrolą użytkownika i mogą być usunięte poprzez odinstalowanie aplikacji lub wyczyszczenie danych aplikacji w ustawieniach urządzenia.

9. Dane publiczne - informacje referencyjne

1. Nazwy szkół, liczba nauczycieli i uczniów mogą być udostępniane publicznie w sekcji referencyjnej Aplikacji.
2. Podstawą prawną tego przetwarzania jest:
   - zgoda nauczyciela wyrażona podczas rejestracji (art. 6 ust. 1 lit. a RODO),
   - uzasadniony interes Administratora w promocji usługi (art. 6 ust. 1 lit. f RODO).
3. Nauczyciele mogą w każdym czasie wycofać zgodę lub zgłosić sprzeciw wobec publicznego wyświetlania nazwy swojej szkoły.
4. Szkoły mają prawo żądania usunięcia swoich danych z sekcji referencyjnej.

10. Ochrona danych dzieci

1. Jeśli użytkownikiem Aplikacji jest osoba poniżej 16. roku życia, przetwarzanie jej danych osobowych jest zgodne z prawem tylko wtedy, gdy zgodę wyraził rodzic lub opiekun prawny.
2. Administrator podejmuje szczególne środki w celu ochrony prywatności nieletnich użytkowników, w tym ogranicza przetwarzanie ich danych do minimum niezbędnego.
3. Nauczyciele zobowiązani są do uzyskania odpowiednich zgód rodziców/opiekunów przed zaproszeniem nieletnich uczniów do Aplikacji.

11. Okres przechowywania danych

1. Dane osobowe przechowywane są przez okres niezbędny do realizacji celów ich przetwarzania:
   - przez czas korzystania z Aplikacji przez użytkownika,
   - dane dotyczące wykonywanych egzaminów: 5 lat od zakończenia korzystania z Aplikacji,
   - wiadomości: 12 miesięcy po usunięciu konta,
   - dane techniczne (logi): 12 miesięcy,
   - dane z programu testowania: przez okres testowania plus 12 miesięcy na potrzeby analizy i rozwoju,
   - własne pytania nauczyciela niewykorzystane w egzaminach: usuwane wraz z kontem nauczyciela,
   - własne pytania nauczyciela wykorzystane w przeprowadzonych egzaminach: anonimizowane (odłączone od danych osobowych) i przechowywane przez okres przechowywania danych egzaminów,
   - w przypadku zawieszenia konta ucznia z powodu braku aktywnego nauczyciela: 24 miesiące z możliwością reaktywacji po przypisaniu nowego nauczyciela,
   - przez okres wymagany przepisami prawa w zakresie obowiązków rachunkowych i podatkowych (5 lat),
   - w przypadku danych przetwarzanych na podstawie uzasadnionego interesu Administratora – do czasu zgłoszenia skutecznego sprzeciwu.

12. Odbiorcy danych

1. Administrator może przekazywać dane osobowe podmiotom współpracującym, w szczególności:
   - dostawcom usług hostingowych i informatycznych,
   - dostawcom usług reklamowych (w zakresie danych technicznych niezbędnych do wyświetlania reklam),
   - dostawcom usług uwierzytelniania (Google, Apple, Microsoft — w zakresie niezbędnym do realizacji procesu logowania),
   - podmiotom obsługującym systemy płatności (jeśli dotyczy),
   - organom publicznym w zakresie wymaganym przepisami prawa.
2. Dane nie będą przekazywane poza Europejski Obszar Gospodarczy (EOG), chyba że Administrator zapewni odpowiednie zabezpieczenia zgodnie z RODO. W przypadku usług Google, Apple i Microsoft, dane mogą być przetwarzane na serwerach tych podmiotów zlokalizowanych poza EOG, na podstawie odpowiednich mechanizmów prawnych (standardowe klauzule umowne, decyzje o adekwatności).

13. Prawa użytkowników

1. Użytkownik ma prawo do:
   - dostępu do swoich danych osobowych,
   - sprostowania nieprawidłowych lub niekompletnych danych,
   - usunięcia danych ("prawo do bycia zapomnianym"),
   - ograniczenia przetwarzania danych,
   - przenoszenia danych do innego administratora,
   - wniesienia sprzeciwu wobec przetwarzania danych,
   - cofnięcia zgody na publiczne wyświetlanie nazwy szkoły,
   - wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO) w przypadku naruszenia praw użytkownika.

2. Aby skorzystać z powyższych praw, należy skontaktować się z Administratorem pod adresem [email protected].

3. Administrator rozpatrzy wniosek w terminie do 30 dni od jego otrzymania.

14. Procedura usuwania kont i danych

1. Użytkownik może zażądać usunięcia swojego konta bezpośrednio w Aplikacji (w ustawieniach profilu) lub kontaktując się z Administratorem.
2. Po złożeniu żądania usunięcia konta obowiązuje 14-dniowy okres karencji, podczas którego:
   - konto pozostaje aktywne i użytkownik może z niego normalnie korzystać,
   - użytkownik może w każdej chwili anulować żądanie usunięcia w ustawieniach profilu,
   - użytkownik jest informowany o planowanej dacie usunięcia.
3. Po upływie okresu karencji:
   - dane osobowe użytkownika (imię, nazwisko, e-mail, powiązania z klasami) są trwale usuwane,
   - tokeny autoryzacyjne usług zewnętrznych (Google, Apple, Microsoft) są trwale usuwane,
   - wyniki egzaminów i opinie są anonimizowane (odłączone od danych osobowych, ale zachowane w celach statystycznych),
   - logi bezpieczeństwa są anonimizowane.
4. Nauczyciel może w imieniu ucznia oznaczyć jego konto do usunięcia (np. na żądanie rodzica lub opiekuna prawnego). W takim przypadku:
   - konto ucznia zostaje dezaktywowane z zachowaniem 14-dniowego okresu karencji,
   - uczeń jest informowany o oznaczeniu konta do usunięcia,
   - w okresie karencji uczeń lub inny przypisany nauczyciel może anulować żądanie usunięcia.
5. Administrator może usunąć konto użytkownika w przypadku naruszenia regulaminu, bez zachowania okresu karencji, z zastrzeżeniem obowiązujących przepisów prawa.

15. Zabezpieczenia danych

1. Administrator stosuje odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych przed nieuprawnionym dostępem, utratą, zniszczeniem lub nieautoryzowanym ujawnieniem, w tym:
   - szyfrowanie danych w trakcie transmisji (protokół HTTPS),
   - szyfrowanie danych wrażliwych w bazie danych (w tym tokenów autoryzacyjnych usług zewnętrznych),
   - regularne kopie zapasowe,
   - kontrolę dostępu do systemów IT,
   - procedury reagowania na incydenty bezpieczeństwa,
   - automatyczne usuwanie częściowych danych autoryzacyjnych w przypadku niepowodzenia rejestracji lub logowania.
2. Dane przechowywane są w bezpiecznych centrach danych, a dostęp do nich mają jedynie upoważnione osoby.
3. Pracownicy Administratora są zobowiązani do zachowania poufności danych osobowych.

16. Pliki cookies i technologie śledzące

1. Aplikacja wykorzystuje pliki cookies oraz inne technologie śledzące w celu:
   - zapewnienia prawidłowego działania Aplikacji,
   - analizy ruchu na stronie i optymalizacji funkcjonalności,
   - zapewnienia bezpieczeństwa,
   - wyświetlania reklam (dotyczy kont podstawowych i osób niezalogowanych).

2. Wykorzystywane są następujące rodzaje cookies:
   - niezbędne cookies techniczne (przechowywane do zakończenia sesji),
   - cookies analityczne (przechowywane do 24 miesięcy),
   - cookies bezpieczeństwa (przechowywane do 12 miesięcy),
   - cookies reklamowe (przechowywane zgodnie z politykami zewnętrznych dostawców reklam — dotyczy kont podstawowych i osób niezalogowanych).

3. Użytkownik może zarządzać ustawieniami cookies w swojej przeglądarce internetowej, jednak wyłączenie niektórych cookies może wpłynąć na funkcjonalność Aplikacji.

17. Procedury realizacji praw użytkowników

1. Wnioski dotyczące realizacji praw użytkowników należy kierować na adres: [email protected].
2. Wniosek powinien zawierać:
   - imię i nazwisko użytkownika,
   - adres e-mail przypisany do konta,
   - szczegółowy opis żądania,
   - kopię dokumentu tożsamości (w przypadku wątpliwości co do tożsamości).
3. Administrator rozpatrzy wniosek w terminie do 30 dni od jego otrzymania.

18. Zmiany w Polityce Prywatności

1. Administrator zastrzega sobie prawo do zmiany niniejszej Polityki Prywatności.
2. O wszelkich zmianach użytkownicy zostaną poinformowani z co najmniej 7-dniowym wyprzedzeniem poprzez Aplikację.
3. Dalsze korzystanie z Aplikacji po wprowadzeniu zmian oznacza ich akceptację.

19. Kontakt

1. W razie pytań dotyczących niniejszej Polityki Prywatności można skontaktować się z Administratorem pod adresem e-mail: [email protected].

Postanowienia przejściowe:
- Dla nowych użytkowników rejestrujących się po dniu 15.03.2026r. niniejsza Polityka Prywatności obowiązuje od momentu rejestracji.
- Dla użytkowników posiadających konta przed dniem 15.03.2026r. niniejsza Polityka Prywatności wchodzi w życie po upływie 7 dni od daty publikacji, tj. od dnia 22.03.2026r.
- Kontynuowanie korzystania z Aplikacji przez istniejących użytkowników po dniu 22.03.2026r. oznacza akceptację niniejszej Polityki Prywatności.
- Dla osób odwiedzających stronę bez rejestracji niniejsza Polityka Prywatności obowiązuje od momentu wejścia na stronę i dotyczy przetwarzania danych technicznych (cookies, logi serwera, adres IP).