Polityka Prywatności Ximly

§ 1. Kto jest administratorem i jak się z nami skontaktować

1.1. Administratorem Twoich danych osobowych jest Ximly sp. z o.o. z siedzibą w Krakowie, adres: ul. Zamknięta 10/1.5, 30-554 Kraków, KRS 0001152079, NIP 6793320888 (dalej: „Ximly", „my").

1.2. W sprawach dotyczących Twoich danych osobowych możesz się z nami skontaktować:

• e-mailem: legal@ximly.app (sprawy ochrony danych) lub support@ximly.app (sprawy konta i pomocy),
• pisemnie: na adres siedziby wskazany w ust. 1.1.

1.3. Nie wyznaczyliśmy Inspektora Ochrony Danych. Wszystkie sprawy dotyczące danych osobowych obsługuje zespół Ximly pod adresami z ust. 1.2.

§ 2. Kto odpowiada za które przetwarzania (role administratorów)

2.1. Ximly jest administratorem danych przetwarzanych w związku z prowadzeniem platformy: kont, rezerwacji, komunikatora, wirtualnej klasy, obsługi płatności po stronie platformy, rozstrzygania reklamacji, bezpieczeństwa i rozliczalności.

2.2. Korepetytor jest odrębnym administratorem danych uczniów w zakresie, w jakim prowadzi własną działalność dydaktyczną. Obejmuje to treści notatek, tematów i celów nauczania, które tworzy o uczniu, a także dane uczniów otrzymywane od platformy w celu przeprowadzenia lekcji: imię i nazwisko, udostępnione dane kontaktowe oraz wpisy w jego kalendarzu. Korepetytora wiążą obowiązki poufności i ograniczenia wykorzystania danych określone w Regulaminie dla Korepetytorów (Dokument D2 § 11).

2.3. Stripe (Stripe Payments Europe, Ltd. oraz podmioty grupy Stripe) jest odrębnym administratorem danych przetwarzanych w ramach własnych obowiązków prawnych Stripe: weryfikacji tożsamości korepetytorów (KYC, ang. „know your customer"), przeciwdziałania praniu pieniędzy i zgodności regulacyjnej. W pozostałym zakresie (obsługa płatności na zlecenie Ximly) Stripe działa jako odrębny dostawca usług płatniczych — szczegóły w § 16.

2.4. WorkOS (dostawca logowania) oraz pozostałe podmioty z tabeli w § 7 przetwarzają dane na nasze zlecenie jako podmioty przetwarzające, chyba że w tabeli wskazano inaczej.

2.5. Do danych związanych z obsługą zgłoszeń, reklamacji, odwołań i wniosków o usunięcie konta mają dostęp operatorzy wsparcia Ximly — szczegóły i ograniczenia w § 15.

§ 3. Jakie dane zbieramy

3.1. Dane konta i rejestracji: adres e-mail, imię i nazwisko, wybrany język i strefa czasowa, opcjonalny awatar, opcjonalny dodatkowy adres e-mail do powiadomień. Zakładanie konta przebiega w dwóch etapach. Etap 1 — rejestracja: podajesz adres e-mail i składasz oświadczenie o wieku: jako osoba dorosła — oświadczenie o ukończeniu 18 lat (osobne pole; daty urodzenia wtedy nie podajesz), a jeżeli masz mniej niż 18 lat — datę urodzenia i adres e-mail rodzica/opiekuna; na tym etapie przedstawiamy Ci Regulamin i tę Politykę i zapisujemy fakt przedstawienia dokumentów, sposób złożenia oświadczenia (zaznaczenie pola albo zatwierdzenie przyciskiem wraz z wersją treści oświadczenia wyświetlonego przy przycisku), wersję i język dokumentu, czas, adres IP i informację o przeglądarce (user agent) (§ 5 i § 21). Oświadczenie o ukończeniu 18 lat zapisujemy jako fakt zaznaczenia wraz z czasem, adresem IP, user agentem i wersją jego treści. Etap 2 — dokończenie zakładania konta po potwierdzeniu adresu e-mail: uzupełniasz profil (rolę korepetytora może wybrać wyłącznie konto o ustalonej pełnoletności — z oświadczenia o ukończeniu 18 lat albo z daty urodzenia; Dokument D1 § 4.10), a jeżeli Regulamin nie został jeszcze zaakceptowany pod Twoim kontem albo obowiązuje już jego nowsza wersja, akceptujesz go w bramce konta — tę Politykę otrzymujesz wtedy do zapoznania się (nie jest umową i nie podlega akceptacji; zapisujemy fakt jej przedstawienia). Wiąże akceptacja Regulaminu złożona pod Twoim kontem — przy rejestracji albo w bramce; dziecko w wieku 13–17 lat nie akceptuje samo, wiążąca jest akceptacja opiekuna pod jego własnym kontem (§ 4.3). Konto dziecka może też założyć rodzic ze swojego konta (§ 4.3 pkt 5).

3.2. Data urodzenia: nie zbieramy jej od osób, które złożyły oświadczenie o ukończeniu 18 lat — dotyczy to także korepetytorów: pełnoletność korepetytora może wynikać z samego oświadczenia (Dokument D1 § 4.10, Dokument D8 § 5.1). Dla kont uczniów w wieku 13–17 lat datę podaje uczeń (ścieżka zaproszenia — § 4.3 pkt 1–4) albo rodzic (zakładając konto dziecka — § 4.3 pkt 5). Rodzic może poprawić wpisaną przez siebie datę w ciągu 24 godzin od utworzenia konta dziecka, dopóki dziecko się nie zalogowało; poza tym oknem zapisanej daty nie można zmienić — ani samodzielnie, ani przez obsługę (chroni to system ochrony małoletnich — § 4). Jeżeli uczeń podał omyłkowo błędną datę, ścieżką naprawczą jest ponowna rejestracja z poprawną datą (Dokument D1 § 4.2); przy omyłce wskazującej wiek poniżej 13 lat konto jest blokowane, a dane usuwane — po zakończeniu usunięcia danych pierwotny adres e-mail jest zwolniony do ponownej rejestracji. Jeżeli okaże się, że osoba, która oświadczyła pełnoletność, jest małoletnia, zespół wsparcia zapisuje na koncie skorygowaną datę wraz z powodem i osobą wprowadzającą korektę, a konto przechodzi na zasady dotyczące małoletnich (Dokument D1 § 4.2; § 11).

3.3. Numer telefonu (z krajem): wymagany przy dokończeniu zakładania konta. Cel: zabezpieczenie konta, pomoc w jego odzyskaniu i przeciwdziałanie duplikatom kont. Nie wysyłamy SMS-ów ani nie dzwonimy — na platformie nie istnieje kanał SMS/głosowy; ewentualny przyszły kontakt handlowy tą drogą wymagałby Twojej odrębnej, uprzedniej zgody (art. 398 ustawy — Prawo komunikacji elektronicznej, dalej: PKE). Numer jest przekazywany do WorkOS (§ 7) jako element metadanych konta.

3.4. Logowanie: podstawą jest jednorazowy kod e-mail od dostawcy logowania (WorkOS). Możesz też ustawić hasło (przechowuje je wyłącznie WorkOS) albo logować się przez Google, Apple lub Microsoft (również przez WorkOS) — z każdego źródła otrzymujemy adres e-mail, imię i nazwisko oraz status weryfikacji adresu. Przy ustawianiu hasła sprawdzamy w usłudze Have I Been Pwned, czy nie wyciekło — wysyłając wyłącznie krótki fragment skrótu, z którego nie da się odtworzyć hasła ani osoby.

3.5. Dane edukacyjne i Przestrzeni Nauki (definicja Przestrzeni Nauki: Dokument D1 § 1.2): rezerwacje i historia lekcji, frekwencja (w tym kto i kiedy dołączył do lekcji wideo), tematy i cele nauki, pliki, tablica (whiteboard), czat lekcyjny.

3.6. Konwersacje: treść wiadomości, załączniki, historia edycji każdej wiadomości (rozmówca widzi oznaczenie „edytowano" i wcześniejsze wersje tekstu) oraz potwierdzenia odczytu (nadawca widzi, kto i kiedy przeczytał wiadomość). Usunięcie wiadomości usuwa też jej załącznik z magazynu plików.

3.7. Płatności: identyfikatory i statusy płatności, historia rozliczeń, dowody wpłat przesyłane przy rozliczeniach bezpośrednich z Korepetytorem, czyli gdy płatność odbywa się poza platformą (definicja szyn rozliczeniowych: Dokument D1 § 1.2), dane sporów. Nie przechowujemy numerów kart — danymi płatniczymi (numer karty, dane rozliczeniowe Korepetytora, a u prowadzących działalność gospodarczą lub działających w formie spółki także dane firmowe, w tym numer identyfikacji podatkowej) zarządza Stripe (§ 16). Zapisujemy jedynie rodzaj metody płatności i identyfikatory nadane przez Stripe.

3.8. Dane dowodowe: rejestr akceptacji dokumentów prawnych (wersja, język, czas, IP, user agent, a dla małoletnich — atrybucja: kto działał, kto był stroną, które zdarzenie autoryzacji opiekuna), rejestr zdarzeń autoryzacji opiekuna (przy cofnięciu autoryzacji — wraz ze wskazanym przez rodzica krótkim powodem cofnięcia, § 4.6), rejestr zgód cookies (§ 6, Dokument D7), dowód oświadczenia o ukończeniu 18 lat (fakt zaznaczenia, wersja treści, czas, IP, user agent), zdarzenie założenia konta dziecka przez rodzica wraz ze złożonymi przy tym oświadczeniami (§ 4.3 pkt 5) oraz dowody przedstawienia treści informacyjnych (wersja treści, czas): klauzuli informacyjnej dla dziecka przy pierwszym logowaniu (§ 20), przypomnienia dla rodzica, że decyzję o wyborze korepetytora podejmuje samodzielnie, informacji dla dziecka o wglądzie rodzica w jego rozmowy (warunek uruchomienia wglądu — § 4.5, Dokument D8 § 3.6) oraz informacji dla rodzica o celu i granicach tego wglądu przy jego pierwszym otwarciu (§ 4.5); a także dziennik otwarć rozmów dziecka przez rodzica (czas rozpoczęcia każdej sesji przeglądania rozmowy; ponowne otwarcie tej samej rozmowy przez tego samego rodzica w ciągu 15 minut należy do tej samej sesji i nie tworzy osobnego wpisu — § 4.5).

3.9. Czego nie zbieramy: danych rozliczeniowych korepetytora zbieranych w toku weryfikacji tożsamości — a u korepetytorów prowadzących działalność gospodarczą lub działających w formie spółki także danych firmowych (numer identyfikacji podatkowej, adres działalności); zbiera je wyłącznie Stripe w toku KYC jako odrębny administrator. Nie zbieramy też danych kart płatniczych ani danych biometrycznych. Nie prowadzimy profilowania marketingowego — czyli automatycznej oceny Twoich cech i zachowań, np. w celu dopasowania reklam — i nie zbieramy żadnej zgody marketingowej (§ 13).

3.10. Które dane są obowiązkowe, a które dobrowolne (art. 13 ust. 2 lit. e RODO):

• dane konta (adres e-mail, imię i nazwisko) oraz oświadczenie o wieku (oświadczenie o ukończeniu 18 lat albo data urodzenia — § 3.2) — warunek zawarcia i wykonania umowy o korzystanie z platformy; bez nich konto nie zostanie założone albo pozostanie ograniczone do wąskiej listy czynności (§ 4.1);
• numer telefonu — wymagany do dokończenia zakładania konta; bez ukończonego zakładania konta nie zarezerwujesz lekcji (§ 3.3);
• adres e-mail rodzica/opiekuna — warunek korzystania z platformy przez ucznia w wieku 13–17 lat (§ 4);
• dane płatnicze (numer karty, dane rozliczeniowe korepetytora) — zbiera je wyłącznie Stripe; bez nich nie skorzystasz z płatności kartowych ani — jako korepetytor — z rozliczeń przez Stripe (§ 16);
• pola profilu (awatar, opis, lokalizacja, dodatkowy adres e-mail do powiadomień, preferencje) — dobrowolne.

Skutkiem niepodania danych jest wyłącznie brak możliwości korzystania z funkcji, dla której są potrzebne; żadne z tych danych nie jest wymagane przepisem prawa bezpośrednio od Ciebie.

§ 4. Małoletni oraz rodzice i opiekunowie

4.1. Pasma wiekowe

(Ta część jest napisana do Ciebie — ucznia.)

Z platformy jako uczeń możesz korzystać, jeżeli masz co najmniej 13 lat. Obowiązują trzy pasma:

Dopóki Twoje konto nie ma ani oświadczenia o ukończeniu 18 lat, ani daty urodzenia, ma dostęp wyłącznie do wąskiej listy czynności (uzupełnienie profilu wiekowego, wylogowanie, usunięcie konta, eksport danych, odczyt dokumentów, zgody cookies) — nieznany wiek traktujemy tak, jak wiek najmłodszy. Oświadczenie o ukończeniu 18 lat jest dla tej reguły wiekiem znanym.

4.2. Rodzic jako strona umowy i płatnik

Dla każdego ucznia poniżej 18 lat stroną umów zawieranych na platformie i płatnikiem każdego zobowiązania jest rodzic/opiekun — nie dziecko. System nie pozwala dziecku wykonać żadnej czynności płatniczej (rezerwacja z płatnością, potwierdzenie, odwołanie od decyzji płatniczej trafiają do opiekuna), a płatność w ogóle nie powstaje bez aktywnej autoryzacji opiekuna.

4.3. Jak działa autoryzacja opiekuna i jakie dane wtedy przetwarzamy

1. Dziecko wskazuje adres e-mail rodzica. Od tej chwili przetwarzamy ten adres jako daną rodzica; zakładamy techniczny rekord konta rodzica zawierający wyłącznie ten adres (imię i nazwisko uzupełnia rodzic dopiero sam, przy pierwszym logowaniu).
2. Rodzic otrzymuje e-mail z zaproszeniem zawierającym bezpieczny link ważny 72 godziny. Zaproszenie jest drogą wejścia na konto rodzica utworzone na wskazanie dziecka (drugą drogę — samodzielną rejestrację rodzica i założenie przez niego konta dziecka — opisuje pkt 5); sam link jest przechowywany u nas wyłącznie w postaci skrótu (SHA-256), a wysyłka jest ograniczana limitami częstotliwości. E-mail zaproszenia nie zawiera imienia dziecka ani szczegółów lekcji.
3. Rodzic loguje się bez hasła (kod e-mail WorkOS), ustala swoją tożsamość i akceptuje Regulamin (Dokument D1) pod własnym kontem; tę Politykę otrzymuje do zapoznania się (zapisujemy fakt jej przedstawienia). Następnie zatwierdza autoryzację dla dziecka, widząc jej dokładny zakres; przy dziecku poniżej 16 lat zgodę na przetwarzanie jego danych wyraża osobnym zaznaczeniem, a ponadto potwierdza, że decyzję o wyborze korepetytora podejmuje samodzielnie (Dokument D1 § 4.11).
4. Każde zdarzenie autoryzacji (udzielenie, ponowne zatwierdzenie, cofnięcie, wygaśnięcie z osiągnięciem pełnoletności) zapisujemy w rejestrze zdarzeń, z którego nic nie można usunąć ani zmienić, wraz z zakresami, dokładnymi wersjami dokumentów, czasem, adresem IP i user agentem. Rejestr jest dostępny dla rodzica w jego panelu.
5. Druga droga — rodzic zakłada konto dziecka. Rodzic może zarejestrować własne konto samodzielnie (oświadczenie o ukończeniu 18 lat i wybór roli rodzica — § 3.1) i z własnego panelu w aplikacji internetowej założyć konto dziecka („Dodaj dziecko"), podając imię i nazwisko dziecka, jego datę urodzenia oraz adres e-mail dziecka. W tej samej czynności rodzic oświadcza, że jest rodzicem lub opiekunem prawnym dziecka, zatwierdza zakresy autoryzacji, potwierdza, że decyzję o wyborze korepetytora podejmuje samodzielnie, a przy dziecku poniżej 16 lat wyraża zgodę na przetwarzanie jego danych osobnym zaznaczeniem, odrębnym od autoryzacji umowno-płatniczej. Relacja jest aktywna od razu — bez zaproszenia i bez terminu 72 godzin; dziecko otrzymuje na swój adres e-mail link do ustawienia hasła. Podstawy prawne: umowa z rodzicem, w której dziecko jest beneficjentem (art. 6 ust. 1 lit. b RODO); przy dziecku poniżej 16 lat — zgoda rodzica na przetwarzanie danych dziecka (art. 8 ust. 1 RODO); wobec danych dziecka w wieku 16–17 lat — art. 6 ust. 1 lit. b i f RODO. Zdarzenie i złożone oświadczenia zapisujemy w rejestrze z pkt 4.

Uczciwy opis siły weryfikacji: weryfikujemy kontrolę nad wskazaną skrzynką e-mail (link + kod jednorazowy); nie weryfikujemy tożsamości, pełnoletności ani pokrewieństwa — jest to świadome i odnotowane ograniczenie przyjętego modelu autoryzacji. Podanie adresu osoby niesprawującej władzy rodzicielskiej narusza Regulamin i może skutkować nieważnością udzielonych autoryzacji. Przy koncie dziecka założonym przez rodzica (pkt 5) nie weryfikujemy istnienia ani wieku dziecka inaczej niż oświadczeniem rodzica; dziecko potwierdza swój adres e-mail, ustawiając hasło.

4.4. Rodzic jako podmiot danych

(Ustępy 4.4–4.7 są napisane do Ciebie — Rodzica/Opiekuna.)

Jeżeli dziecko wskazało Twój adres e-mail, przetwarzamy go w celu przeprowadzenia autoryzacji (art. 6 ust. 1 lit. c i f RODO w zw. z art. 8 ust. 2 RODO oraz art. 17 Kodeksu cywilnego, dalej: KC). Klauzulę informacyjną otrzymujesz w pierwszej wiadomości od nas. Jeżeli nie skorzystasz z zaproszenia, techniczny rekord z Twoim adresem po upływie 72 godzin kwalifikuje się do usunięcia i jest usuwany najbliższym dziennym procesem czyszczącym wraz z niedokończonym kontem dziecka; jest też usuwany, gdy konto dziecka zostaje usunięte. Jeżeli sam założyłeś konto rodzica (§ 4.3 pkt 5), przetwarzamy Twoje dane na podstawie umowy o korzystanie z platformy (art. 6 ust. 1 lit. b RODO), a nie zaproszenia — zasada 72 godzin Cię nie dotyczy.

4.5. Co widzi i czego nie widzi rodzic

Panel rodzica obejmuje: listę dzieci, założenie konta dziecka („Dodaj dziecko") i korektę jego daty urodzenia w oknie 24 godzin (§ 3.2), lekcje dziecka, płatności i zaległości, rejestr zdarzeń autoryzacji, cofnięcie autoryzacji oraz reklamacje dotyczące lekcji dziecka, w których rodzicowi przysługuje legitymacja jako stronie umowy i płatnikowi (§ 4.2; Dokument D1 § 4.4, Dokument D4 § 10.2) — w takiej reklamacji rodzic widzi jej opis oraz wiadomości wymienione z zespołem wsparcia w tym postępowaniu, w tym napisane przez dziecko. Obejmuje także wgląd do odczytu w rozmowy dziecka z korepetytorami (czat prywatny dziecko–korepetytor oraz czat lekcyjny lekcji, w której dziecko jest jedynym uczniem; czat lekcyjny lekcji grupowej pozostaje poza wglądem, bo zawiera wiadomości innych uczniów) — wyłącznie wiadomości wysłane od chwili granicznej wglądu: najpóźniejszej z dnia wejścia w życie wersji Regulaminu (Dokument D1 § 4.7) i dnia wejścia w życie wersji tej Polityki, które wgląd wprowadziły, oraz chwili, w której dziecko po raz pierwszy zobaczyło na Platformie informację o wglądzie (Dokument D8 § 3.6) — bez wiadomości wcześniejszych, także tych wysłanych po wejściu w życie tych wersji, ale przed pokazaniem informacji dziecku; wgląd jest jawny dla dziecka i korepetytora (Dokument D8 § 3.6), uruchamia się dopiero po tym, jak dziecko zobaczyło na Platformie informację o nim (Dokument D8 § 3.6; dowód przedstawienia — § 3.8), nie obejmuje rozmów z innymi uczniami ani zgłoszeń dziecka (Dokument D8 § 8.5), nie pozwala rodzicowi pisać, zmieniać ani zgłaszać wiadomości z poziomu rozmowy dziecka i wygasa z cofnięciem autoryzacji albo z ukończeniem przez dziecko 18 lat. Przy pierwszym otwarciu wglądu rodzic widzi informację o jego ochronnym celu i granicach i potwierdza jej wyświetlenie (dowód przedstawienia — § 3.8). Podstawą udostępnienia treści rodzicowi jest wykonanie umowy, której rodzic jest stroną (art. 6 ust. 1 lit. b RODO), oraz nasz prawnie uzasadniony interes w ochronie małoletnich (art. 6 ust. 1 lit. f RODO; art. 28 DSA). Nie obejmuje notatek korepetytora o dziecku. Wgląd w treść samego postępowania reklamacyjnego wynika stąd, że to rodzic je prowadzi jako strona umowy i płatnik (Dokument D1 § 12.5) — bez opisu zastrzeżeń i bez wątku z zespołem wsparcia nie mógłby wykonać tego uprawnienia. Rodzic otrzymuje powiadomienia finansowe jako płatnik; dziecko otrzymuje ich kopię w wersji ograniczonej.

4.6. Cofnięcie autoryzacji przez rodzica

Cofnięcie wykonasz jednym działaniem w panelu rodzica (art. 7 ust. 3 RODO), z podglądem skutków przed zatwierdzeniem; wskazujesz przy tym krótki powód cofnięcia, który zapisujemy w rejestrze zdarzeń autoryzacji (§ 3.8). Skutki: lekcje nieopłacone są anulowane bez żadnego długu, opłacone przechodzą standardową ścieżkę zwrotu do Ciebie jako płatnika (Dokument D4 — Polityka Anulowania). Sesje dziecka są wylogowywane, korepetytor powiadamiany.

4.7. Osiągnięcie pełnoletności i inne granice

W dniu 18. urodzin dziecka umocowanie opiekuna wygasa automatycznie (zdarzenie „zakończono — pełnoletność" w rejestrze; wykonywane przy pierwszym żądaniu, z nocnym mechanizmem zapasowym). Dotyczy to także konta założonego przez rodzica (§ 4.3 pkt 5). Z chwilą przekształcenia konta aktywne sesje dziecka są unieważniane, a dalsze korzystanie wymaga akceptacji Regulaminu pod własnym kontem (ta Polityka jest wtedy przedstawiana). Przekroczenie 16 lat nie wymaga ponownej autoryzacji — zakres wymagany od opiekuna po prostu się zwęża.

4.8. Usunięcie konta przez dziecko

(Ta część jest napisana do Ciebie — ucznia.)

Jeżeli masz 13–17 lat, możesz samodzielnie złożyć wniosek o usunięcie swojego konta i pobrać eksport swoich danych — te prawa są zawsze dostępne, nawet przy niekompletnej autoryzacji. Masz te same prawa, jeżeli Twoje konto założył rodzic (§ 4.3 pkt 5). Rodzic z aktywną autoryzacją może żądać usunięcia konta dziecka poniżej 16 lat; przy dziecku w wieku 16–17 lat wniosek rodzica rozpatrujemy z udziałem dziecka — pytamy je o stanowisko, zanim go wykonamy (§ 10.5).

4.9. Analityka i zgody wobec małoletnich

Wobec kont osób poniżej 16 lat oraz kont o nieznanym wieku wyłączamy analitykę — w tym nagrywanie sesji (§ 19.4) — po stronie serwera niezależnie od decyzji wyrażonej w banerze cookies (szczegóły — Dokument D7 § 5). Samo nagrywanie sesji jest wyłączone szerzej — wobec wszystkich kont osób poniżej 18 lat, także przy zgodzie analitycznej (§ 19.4). Oświadczenie o ukończeniu 18 lat jest dla tej reguły wiekiem znanym: konto z takim oświadczeniem traktujemy jak konto osoby dorosłej i o analityce decyduje wyłącznie Twój wybór w banerze cookies. Nie kierujemy do małoletnich marketingu behawioralnego ani profilowania (§ 13.6).

4.10. Dane dziecka przekazywane w związku z lekcją

W celu przeprowadzenia lekcji przekazujemy: dostawcy wideo (Cloudflare RealtimeKit) — imię i nazwisko, identyfikator konta i adres awatara uczestnika; awaryjnemu dostawcy wideo (Zoom) — tytuł spotkania (nazwa Przestrzeni Nauki + temat); do kalendarza Google korepetytora — wpis lekcji z imieniem i inicjałem nazwiska ucznia (wydarzenie tworzone jako prywatne, bez możliwości dopraszania gości). Szczegóły w § 7 i § 17.

§ 5. Po co i na jakiej podstawie przetwarzamy dane

5.1. Tabela celów i podstaw prawnych. Okresy przechowywania dla każdej kategorii — w tabeli retencji (§ 9).

5.2. Nie prowadzimy marketingu opartego na zgodzie — nie wysyłamy newsletterów ani informacji handlowych i nie zbieramy na nie zgód. Gdybyśmy chcieli to zmienić, najpierw zbudujemy odrębny, dobrowolny mechanizm zgody i zaktualizujemy tę Politykę (§ 13).

5.3. Tam, gdzie podstawą jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), przysługuje Ci sprzeciw — § 10.7.

§ 6. Pliki cookies i podobne technologie

6.1. Pełny, tabelaryczny wykaz cookies i zapisów w pamięci przeglądarki oraz zasady zgody znajdziesz w odrębnej Polityce Cookies (Dokument D7) — dostępnej bez logowania i bez bramki akceptacji.

6.2. Dwa sprostowania względem wcześniejszych wersji dokumentów: (a) cookies mogą zawierać dane osobowe — w szczególności cookie uwierzytelniające app_token zawiera zaszyfrowany token powiązany z Twoim kontem; (b) ustawienia przeglądarki nie są mechanizmem wyrażenia zgody — zgodę na kategorie inne niż niezbędne wyrażasz wyłącznie w banerze/ustawieniach zgód, a decyzję rejestrujemy po stronie serwera (Dokument D7 § 3).

§ 7. Komu przekazujemy dane (rejestr odbiorców)

7.1. Poniższa tabela jest rejestrem głównych odbiorców danych. Kolumna „Mechanizm transferu" wskazuje podstawę przekazania danych poza Europejski Obszar Gospodarczy (§ 8); tam, gdzie wskazujemy standardowe klauzule umowne lub równoważne mechanizmy, opieramy się na umowach zawartych z danym dostawcą, a kopię stosowanych zabezpieczeń otrzymasz na żądanie (§ 8.4).

7.2. Dane mogą otrzymać także: korepetytor, z którym się uczysz (jako odrębny administrator — § 2.2), inni uczestnicy Twoich Przestrzeni Nauki i lekcji (w zakresie widocznym w produkcie) oraz Twój rodzic/opiekun (w zakresie z § 4.5).

§ 8. Przekazywanie danych poza EOG

8.1. Twoje dane mogą być przetwarzane poza Europejskim Obszarem Gospodarczym, w tym w USA. Dotyczy to w szczególności dostawców wskazanych w tabeli w § 7 (m.in. operator infrastruktury, WorkOS, Expo, Slack, Cloudflare, Stripe — w zakresie grupowym, dostawcy poczty). Wcześniejsze oświadczenie, że dane są przechowywane „wyłącznie w EOG", było nieprawdziwe i zostaje wycofane.

8.2. Podstawą przekazania jest — zależnie od odbiorcy — decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony (w tym EU–US Data Privacy Framework dla odbiorców certyfikowanych) albo standardowe klauzule umowne (art. 46 ust. 2 lit. c RODO) wraz z oceną skutków transferu. Mechanizm właściwy dla danego odbiorcy wskazuje kolumna „Mechanizm transferu" w § 7; wobec odbiorców spoza EOG stosujemy standardowe klauzule umowne lub równoważne mechanizmy zgodnie z umowami z dostawcą, a jeżeli zapewnienie odpowiednich zabezpieczeń nie jest możliwe — przekazania zaprzestajemy (§ 8.3).

8.3. Klauzula zapasowa: jeżeli decyzja o adekwatności, na której opiera się transfer (w tym DPF — obecnie zaskarżony przed TSUE, sprawa C-703/25 P), zostanie uchylona lub zawieszona, kontynuujemy transfer wyłącznie na podstawie standardowych klauzul umownych albo go wstrzymujemy.

8.4. Możesz uzyskać kopię stosowanych zabezpieczeń (art. 15 ust. 2 RODO), pisząc na adres z § 1.2.

§ 9. Jak długo przechowujemy dane (tabela retencji)

9.1. Okresy, które system faktycznie egzekwuje (zadania czyszczące działają automatycznie):

9.2. Następujące kategorie przechowujemy przez czas trwania relacji oraz przez okres dochodzenia lub obrony roszczeń, a po usunięciu konta zachowujemy je na podstawie art. 17 ust. 3 lit. b i e RODO (pełna lista wyłączeń — § 10.5):

• dokumentacja płatności i rozliczeń oraz dowody wpłat,
• dokumentacja reklamacji i sporów,
• rejestry Ostrzeżeń i odwołań,
• dowody zgód i doręczeń — jedna kategoria obejmująca dowody akceptacji dokumentów, dowody przedstawienia dokumentów (bez adresu IP i user agenta), dowód oświadczenia o ukończeniu 18 lat (z adresem IP i user agentem — § 14.3), rejestr zdarzeń autoryzacji opiekuna i rejestr zgód cookies (rejestr zgód cookies przechowujemy dla rozliczalności zgody — art. 7 ust. 1 RODO; okres jego przeglądu określa nasza mapa retencji),
• logi aktywności Przestrzeni Nauki,
• rekord korekty wieku (§ 3.2, § 11) — ze skorygowaną datą urodzenia, dosłownym powodem korekty przekazanym przez osobę trzecią, oznaczeniem operatora, źródłem i zestawieniem zobowiązań sporządzonym przy korekcie; rejestr wyłącznie dopisywalny,
• zgłoszenia treści (Dokument D6 § 3) wraz z rozstrzygnięciem i jego uzasadnieniem — w tym dane zgłaszającego bez konta (imię i nazwisko lub nazwa, adres e-mail, wskazanie treści, opis zgłoszenia): przez czas rozpatrywania zgłoszenia, a po decyzji przez okres, w którym decyzja może być kwestionowana lub dochodzone mogą być roszczenia z nią związane,
• dowody przedstawienia informacji o wglądzie dziecku i rodzicowi (§ 3.8, § 4.5) — na tych samych zasadach i przez ten sam okres co rejestr zdarzeń autoryzacji opiekuna,
• dziennik otwarć rozmów dziecka przez rodzica (§ 3.8) — na tych samych zasadach i przez ten sam okres co rejestr zdarzeń autoryzacji opiekuna (rejestr wyłącznie dopisywalny: wpisu nie da się zmienić ani usunąć); cofnięcie autoryzacji albo ukończenie przez dziecko 18 lat zamyka wgląd (§ 4.5), ale nie usuwa dziennika — pozostaje on dowodem rozliczalności wobec dziecka.

Dokumentację podatkową i rachunkową przechowujemy przez okresy wymagane prawem podatkowym i ustawą o rachunkowości.

9.3. Konwersacje (czat). Treść rozmów przechowujemy przez czas istnienia kont uczestników; wątki powiązane z reklamacją lub sporem — do zakończenia sprawy i upływu okresu przedawnienia. Po zakończeniu współpracy z korepetytorem dostęp stron do rozmów podlega zasadzie Cięcia Wiedzy (definicja: Dokument D1 § 1.2) opisanej w Regulaminie (Dokument D1 § 6).

9.4. Pozostałe kategorie techniczne. Surowe zdarzenia webhook otrzymywane od Stripe, zdarzenia obecności na lekcjach wideo, rekordy doręczeń powiadomień oraz wpisy diagnostyczne narzędzi utrzymaniowych przechowujemy wyłącznie tak długo, jak jest to niezbędne do celu, w jakim zostały zebrane — odpowiednio: rozliczalności rozliczeń, ustalenia frekwencji, wykazania doręczenia i usuwania awarii — a następnie usuwamy. Tokeny dostępu wygasają po stronie serwera po około 3 miesiącach od wydania, a wcześniej unieważnia je wylogowanie lub usunięcie sesji z listy (§ 12.3); wygasły token nie uwierzytelnia już żadnego żądania.

9.5. Dane diagnostyczne (monitorowanie błędów) mogą obejmować treść nieudanych wiadomości e-mail i payloady żądań na ścieżkach błędów — przechowujemy je wyłącznie w celu usuwania awarii, z dostępem ograniczonym do zespołu technicznego.

§ 10. Twoje prawa

10.1. Przysługują Ci prawa z art. 15–22 RODO, realizowane w terminie miesiąca od żądania (w sprawach złożonych +2 miesiące, z informacją i przyczyną w pierwszym miesiącu — art. 12 ust. 3 RODO). Kanał: adresy z § 1.2; eksport i usunięcie konta — samoobsługowo w ustawieniach.

10.2. Dostęp (art. 15). Odpowiadamy na żądanie dostępu e-mailem, obejmując wszystkie dane, które o Tobie przechowujemy — w tym treści tworzone o Tobie przez korepetytorów lub nasz zespół (§ 18), z poszanowaniem praw innych osób. Samoobsługowy eksport (ust. 10.3) jest narzędziem przenoszalności i nie zastępuje pełnej odpowiedzi na żądanie dostępu.

10.3. Przenoszenie danych (art. 20) — eksport. W ustawieniach konta możesz zamówić archiwum JSON swoich danych. O gotowości informujemy e-mailem; archiwum jest dostępne przez 7 dni, a link do pobrania ważny 60 minut (można pobrać ponownie). Zakres archiwum obejmuje m.in.: konto, profile, urządzenia, preferencje powiadomień, harmonogram, Przestrzenie Nauki, lekcje, Twoje wiadomości i manifest załączników, płatności i potwierdzenia, reklamacje, opinie, Ostrzeżenia i odwołania, dowody akceptacji dokumentów, deklaracje rejestracyjne, zaparkowaną odpowiedź rejestracyjną oczekującą na rozstrzygnięcie wieku (data urodzenia i adres opiekuna, jeżeli je podano), zgody cookies oraz Twoje wnioski prywatnościowe.

10.4. Sprostowanie (art. 16). Większość danych profilu poprawisz samodzielnie w ustawieniach. Data urodzenia jest niemutowalna (§ 3.2) i nie podlega korekcie przez obsługę; jedyny wyjątek to okno 24 godzin, w którym rodzic może poprawić datę wpisaną przez siebie przy zakładaniu konta dziecka (§ 3.2). Poza tym oknem ścieżką naprawczą przy omyłce jest ponowna rejestracja z poprawną datą (§ 3.2); zespół wsparcia zapisuje datę wyłącznie wtedy, gdy konto z oświadczeniem o pełnoletności okazuje się kontem osoby małoletniej (§ 3.2, § 11). W przypadku ucznia poniżej 16 lat zmiana imienia, telefonu lub awatara wymaga autoryzacji opiekuna.

10.5. Usunięcie danych (art. 17). Opisujemy rzeczywisty przebieg — nie obiecujemy „natychmiastowego trwałego usunięcia", bo tak ten proces nie działa:

1. Składasz wniosek w ustawieniach konta (Prywatność i Twoje dane). Wniosek możesz anulować, dopóki nie rozpoczęło się przetwarzanie.
2. Wniosek weryfikuje operator wsparcia. Zaległości, otwarte spory lub trwające wypłaty nie blokują usunięcia jako takiego — uzasadniają wyłącznie zachowanie konkretnych rekordów (pkt 4). Odmowa lub częściowa odmowa zawsze zawiera przyczyny oraz pouczenie o prawie skargi do Prezesa UODO i o drodze sądowej (art. 12 ust. 4 RODO).
3. Po zatwierdzeniu dane są anonimizowane. Usuwamy lub nadpisujemy dane identyfikujące — w tym konto u dostawcy logowania, pliki, eksporty, powiadomienia, profil publiczny i napisane opinie. Rekord konta zostaje nieodwracalnie pseudonimizowany: pozostaje techniczny zapis bez danych kontaktowych, którego w zwykłym toku działania nie da się powiązać z Tobą.
4. Co zachowujemy po usunięciu i dlaczego (art. 17 ust. 3 lit. b i e RODO): dokumentację płatności, rozliczeń i sporów (obowiązki prawne, obrona roszczeń), dokumentację reklamacji i odwołań, rejestry Ostrzeżeń, dowody akceptacji i przedstawienia dokumentów, dowód oświadczenia o ukończeniu 18 lat (wraz z adresem IP i user agentem — § 9.1, § 14.3), rejestr zdarzeń autoryzacji opiekuna (przy cofnięciu — wraz ze wskazanym powodem), rekord korekty wieku (ze skorygowaną datą urodzenia, dosłownym powodem i oznaczeniem operatora — § 9.2), dziennik otwarć rozmów dziecka przez rodzica i dowody przedstawienia informacji o wglądzie (przez okresy z § 9.2), zgłoszenia treści wraz z rozstrzygnięciami (§ 9.2), rejestr zgód cookies, logi aktywności Przestrzeni Nauki oraz rejestr samego wniosku o usunięcie. Wiadomości innych osób (w tym napisane do Ciebie) pozostają nietknięte; Twoje wiadomości są redagowane. Notatki lekcji oraz tematy i cele nauki tworzone przez korepetytora nie są obejmowane usunięciem Twojego konta u nas — pozostają dokumentacją dydaktyczną korepetytora jako ich odrębnego administratora (§ 2.2, § 18.1); o okresie ich przechowywania decyduje korepetytor, u którego możesz też dochodzić swoich praw wobec tych treści.
5. Danych przechowywanych przez Stripe jako odrębnego administratora (KYC) dochodzisz bezpośrednio u Stripe; wskażemy Ci właściwy kanał.

Termin miesięczny z ust. 10.1 obejmuje także ten proces i jest naszym zobowiązaniem.

10.6. Ograniczenie przetwarzania (art. 18). Żądanie złożysz kanałami z § 1.2. Przez czas ograniczenia dane, których ono dotyczy, wyłącznie przechowujemy — nie wykorzystujemy ich w inny sposób, chyba że za Twoją zgodą albo w celu ustalenia, dochodzenia lub obrony roszczeń. O uchyleniu ograniczenia zawiadamiamy Cię przed jego uchyleniem (art. 18 ust. 2 i 3 RODO).

10.7. Sprzeciw (art. 21). Wobec przetwarzania na podstawie prawnie uzasadnionego interesu (§ 5) możesz w każdej chwili wnieść sprzeciw kanałami z § 1.2; wskażemy, które operacje wstrzymaliśmy, albo wykażemy nadrzędne podstawy.

10.8. Wycofanie zgody (art. 7 ust. 3). Jedyne przetwarzania oparte na zgodzie to analityka (Dokument D7 — tam mechanizm wycofania) oraz autoryzacja opiekuna w zakresie danych dziecka poniżej 16 lat (wycofanie — § 4.6). Wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.

10.9. Prawa dziecka wykonywane przez opiekuna. Rodzic z aktywną autoryzacją — udzieloną przy zatwierdzeniu konta dziecka albo przy jego założeniu (§ 4.3 pkt 5) — wykonuje prawa dziecka przez panel rodzica (rejestr zgód, cofnięcie) oraz kanałami z § 1.2 — w każdej sprawie dotyczącej danych dziecka. Dostęp do reklamacji i do powierzchni płatniczych, który wynika z bycia stroną umowy i płatnikiem danej lekcji, nie wygasa z cofnięciem autoryzacji ani z osiągnięciem przez dziecko pełnoletności: dotyczy wyłącznie lekcji zawartych w czasie trwania umocowania, za które rodzic pozostaje odpowiedzialny (Dokument D1 § 4.8 i § 4.9).

10.10. Skarga. Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa; uodo.gov.pl) oraz dochodzić ochrony przed sądem.

§ 11. Decyzje podejmowane automatycznie

11.1. Część decyzji na platformie zapada automatycznie, bez udziału człowieka. Poniżej katalog tych decyzji wraz z zasadami, znaczeniem i konsekwencjami (art. 13 ust. 2 lit. f RODO). Wartości progów i okien czasowych przywołujemy informacyjnie — ich wiążącym źródłem są dokumenty-gospodarze (Polityka Anulowania — Dokument D4; Regulamin — Dokument D1; parametry rezerwy — Dokument D2-P § 5).

11.2. Prawo do interwencji człowieka (art. 22 ust. 3 RODO). Zobowiązujemy się zapewnić dla każdej z powyższych decyzji ścieżkę weryfikacji przez człowieka, przedstawienia stanowiska i zakwestionowania decyzji. Ścieżkę weryfikacji uruchamiasz kanałami z § 1.2, a w sprawie Ostrzeżeń z odrzuconych wpłat — sformalizowanym odwołaniem w terminie 14 dni.

11.3. Nie profilujemy Cię w celach marketingowych.

§ 12. Bezpieczeństwo danych

12.1. Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w tym: szyfrowanie transmisji (TLS), logowanie bezhasłowe z kodami jednorazowymi i MFA, kontrolę dostępu opartą na rolach, niemutowalne rejestry dowodowe i rozdzielenie środowisk. Pliki użytkowników (załączniki, dowody wpłat, archiwa eksportu) przechowujemy w magazynie prywatnym, z dostępem wyłącznie przez krótkoterminowe podpisane linki.

12.2. Świadomie nie składamy w tym dokumencie ogólnych obietnic (np. „wszystkie dane są szyfrowane w spoczynku"), których nie moglibyśmy wykazać. Szczegółowy opis środków utrzymujemy w dokumentacji wewnętrznej (art. 32 RODO).

12.3. Sesją zarządzasz w ustawieniach: lista aktywnych sesji pokazuje przybliżoną lokalizację i urządzenie oraz pozwala wylogować pozostałe urządzenia. Cookie logowania jest ważne 90 dni; token dostępu wygasa po stronie serwera, a niezależnie od tego unieważnia go wylogowanie lub usunięcie sesji z listy (patrz też Dokument D7 § 2).

§ 13. Jakie wiadomości od nas dostajesz

13.1. Komunikacja serwisowa (art. 6 ust. 1 lit. b i f RODO): rezerwacje, przypomnienia, odwołania i zmiany terminów, zaproszenia, płatności (wezwania, potwierdzenia, zwroty, spory, zaległości), wiadomości i powiadomienia czatu, sprawy konta i logowania, zawiadomienia o zmianach dokumentów prawnych. Wysyłamy ją e-mailem, powiadomieniem push i wpisem w aplikacji.

13.2. Centrum preferencji w ustawieniach konta pozwala wyłączać kategorie osobno dla każdego kanału. Nie można wyłączyć kategorii: uwierzytelnianie/bezpieczeństwo oraz zawiadomienia prawne (są niezbędne do wykonania umowy i obowiązków prawnych). Wiadomości powitalne wysyłamy jednorazowo. Wpis na liście powiadomień w aplikacji powstaje zawsze, także przy wyłączonym e-mailu/push.

13.3. Informacja handlowa (marketing): obecnie nie wysyłamy żadnej. Nie prowadzimy newslettera, nie wysyłamy promocji żadnym kanałem i nie zbieramy zgód marketingowych. Rozpoczęcie takiej komunikacji poprzedzi: odrębny, dobrowolny i odwoływalny mechanizm zgody (art. 398 PKE, art. 7 RODO), działający mechanizm rezygnacji w każdej wiadomości i aktualizacja tej Polityki.

13.4. Banery informacyjno-promocyjne w aplikacji mogą pojawiać się na pulpitach użytkowników; wyświetlamy je na podstawie prawnie uzasadnionego interesu (marketing własnych usług, art. 6 ust. 1 lit. f RODO) i doboru wyłącznie po języku konta — bez profilowania. Nie kierujemy marketingu behawioralnego do małoletnich (§ 13.6). Przysługuje Ci sprzeciw (§ 10.7).

13.5. Treść wiadomości czatu w powiadomieniach. Powiadomienie push o nowej wiadomości zawiera do 100 znaków jej treści (trafia przez dostawcę push na ekran blokady urządzenia), a zbiorczy e-mail o nieprzeczytanych wiadomościach — nazwę rozmowy, nadawcę i podgląd do 100 znaków (trafia przez dostawcę poczty). Wyrenderowana treść powiadomień jest przechowywana na liście powiadomień w aplikacji przez 90 dni (§ 9).

13.6. Małoletni: nie kierujemy do osób poniżej 16 lat żadnej komunikacji opartej na zgodzie ani marketingu behawioralnego i nie profilujemy ich; przyjmujemy zasadę braku reklamy profilowanej wobec wszystkich osób poniżej 18 lat.

§ 14. Dane techniczne i sesyjne

14.1. Dla bezpieczeństwa konta i doboru języka/strefy czasowej przetwarzamy przy korzystaniu z API: adres IP, przybliżoną lokalizację wyprowadzoną z IP (kraj, region, miasto — nie dokładną), strefę czasową, system, przeglądarkę i typ urządzenia. Aktualizujemy te dane nie częściej niż co 15 minut na sesję i przechowujemy w postaci zaszyfrowanej przy tokenie sesji. Widzisz je na liście sesji w ustawieniach.

14.2. Rozpoznanie lokalizacji opiera się w pierwszej kolejności na nagłówku naszej infrastruktury (Cloudflare — bez ruchu wychodzącego); tylko gdy jest on niedostępny, adres IP może zostać wysłany do rezerwowych dostawców geolokalizacji wskazanych w § 7. Podstawa: art. 6 ust. 1 lit. f RODO.

14.3. Adres IP i user agent zapisujemy także trwale jako element materiału dowodowego: przy akceptacji dokumentów, przy oświadczeniu o ukończeniu 18 lat, zgodach cookies i zdarzeniach autoryzacji opiekuna (§ 3.8). W logu operacji wsparcia (§ 15.2) zapisujemy adres IP bez user agenta i usuwamy ten log po 30 dniach. Dowody przedstawienia dokumentów (§ 3.8) adresu IP ani user agenta nie zawierają. Zapisy dowodowe z zdania pierwszego są zachowywane także po usunięciu lub anonimizacji konta (§ 9.2, § 10.5 pkt 4); adres IP i user agent z deklaracji rejestracyjnych dotyczących dokumentów są natomiast usuwane wraz z kontem (§ 9.1).

14.4. Token dostępu wygasa po stronie serwera; cookie logowania jest ważne 90 dni. Kontrolą jest lista sesji (§ 12.3) — wylogowanie unieważnia poświadczenie.

§ 15. Dostęp zespołu wsparcia

15.1. Zgłoszenia, reklamacje, spory, odwołania i wnioski o usunięcie konta rozpatruje zespół wsparcia Ximly. Operator widzi dane niezbędne do rozstrzygnięcia sprawy — w tym treść reklamacji, dokumentację płatności i sporów oraz (przy wniosku o usunięcie) imię, nazwisko i adres e-mail wnioskodawcy. Operatorzy nie mają dostępu do przeglądania Twoich rozmów — z jednym wyjątkiem: gdy konkretna wiadomość zostanie zgłoszona (Dokument D6 § 3), operator rozpatrujący zgłoszenie widzi tę pojedynczą zgłoszoną wiadomość — jej treść, nadawcę, czas wysłania i metadane załączników (nazwa, typ i rozmiar pliku) — także wtedy, gdy została już usunięta (pozostaje zabezpieczona jako materiał sprawy). Pozostałych wiadomości rozmowy operator nie widzi.

15.2. Każde żądanie w konsoli jest logowane (metoda, ścieżka, adres IP, wynik, oznaczenie operatora) przez 30 dni, a decyzje (rozstrzygnięcia reklamacji, odwołań, wniosków o usunięcie, zdjęcia Ostrzeżeń) są trwale przypisywane do oznaczenia operatora w rekordzie sprawy i przechowywane razem z aktami sprawy przez cały okres, przez który sprawa może być przedmiotem odwołania lub roszczenia.

15.3. Zobowiązanie poufności: treść Twoich zgłoszeń udostępniamy drugiej stronie sporu wyłącznie w zakresie niezbędnym do zajęcia stanowiska (zasady — Dokument D1 § 12 i Dokument D2 § 9).

§ 16. Płatności i weryfikacja korepetytorów (KYC)

16.1. Płatności kartowe obsługuje Stripe. Przekazujemy Stripe identyfikatory niezbędne do rozliczenia (identyfikator płatności, lekcji, Przestrzeni Nauki, konta) oraz adres e-mail płatnika; przy zobowiązaniach dotyczących ucznia poniżej 18 lat płatnikiem jest rodzic i to jego dane trafiają do procesu płatności (§ 4.2). Numer karty podajesz wyłącznie Stripe.

16.2. Korepetytorzy: weryfikację tożsamości (KYC) prowadzi Stripe jako odrębny administrator: bezpośrednio do Stripe trafiają dokumenty tożsamości i dane rozliczeniowe. Konto połączone jest zakładane przez Platformę jako konto osoby fizycznej; korepetytor prowadzący działalność w innej formie (np. spółka) uzupełnia lub koryguje dane swojego podmiotu bezpośrednio w panelu Stripe (Dokument D2 § 7.1). My przechowujemy lokalnie: status wymagań KYC otrzymywany od Stripe (w tym listę braków), stan konta połączonego i przyczynę ewentualnego ograniczenia (tę ostatnią widzi wyłącznie zespół wsparcia — bywa oznaczona przez Stripe jako wrażliwa), oraz surowe zdarzenia webhook od Stripe (webhook — automatyczny komunikat techniczny, którym Stripe powiadamia nas o zdarzeniach na koncie) dla rozliczalności rozliczeń.

16.3. Spory i chargebacki: przy sporze kompletujemy i przekazujemy Stripe (a za jego pośrednictwem wystawcy karty) pakiet dowodowy, który może obejmować zapis Twojej zgody na politykę anulowania (wersja, data) oraz dokumentację lekcji i płatności.

16.4. Raportowanie podatkowe platform (DAC7): gdy przepisy tego wymagają, Ximly wdroży obowiązki raportowe operatora platformy (DAC7) wobec Krajowej Administracji Skarbowej. Obecnie nie zbieramy od korepetytorów danych identyfikacyjnych i podatkowych na ten cel (§ 3.7, § 3.9); przed rozpoczęciem zbierania takich danych poinformujemy Korepetytorów o ich zakresie i zaktualizujemy tę Politykę.

§ 17. Integracja z Kalendarzem Google i lekcje wideo

(Ustępy 17.1–17.4 są napisane do Ciebie — korepetytora; ust. 17.3 i 17.5 dotyczą także uczniów.)

17.1. Jako korepetytor możesz połączyć konto Google. Integracja żąda pełnego dostępu do odczytu i zapisu kalendarza (oraz podstawowych danych profilu Google); połączenie bez pełnego zakresu jest odrzucane. Zapis służy tworzeniu, aktualizacji i usuwaniu wydarzeń lekcji; odczyt — cogodzinnemu sprawdzaniu kolizji pozostałych wydarzeń z dostępnością (blokujemy kolidujące sloty).

17.2. Przechowujemy: adres e-mail i identyfikator konta Google, dane profilowe zwrócone przy połączeniu oraz token odświeżania — do czasu rozłączenia integracji (rozłączenie unieważnia token po stronie Google i usuwa nasz rekord). Codzienne zadanie odświeża token, aby integracja nie wygasła.

17.3. Wydarzenia lekcji zapisywane w kalendarzu korepetytora zawierają imię i inicjał nazwiska ucznia oraz godziny lekcji; są tworzone jako prywatne, a goście nie mogą dopraszać innych osób. Zaproszenia ICS wysyłane uczniom e-mailem wskazują jako organizatora adres kalendarzowy Ximly.

17.4. Oświadczenie Google Limited Use: korzystanie przez Ximly z informacji otrzymanych z interfejsów Google Workspace API będzie zgodne z „Google API Services User Data Policy", w tym z wymogami Limited Use. / Ximly's use of information received from Google Workspace APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. Oznacza to w szczególności: żadnej sprzedaży tych danych, żadnej reklamy na ich podstawie, żadnej oceny zdolności kredytowej i żadnego trenowania modeli AI na tych danych.

17.5. Lekcje wideo prowadzimy na Cloudflare Realtime (uczestnik jest przedstawiany imieniem i nazwiskiem, identyfikatorem konta i awatarem); awaryjnie — na Zoom (spotkanie opisane nazwą Przestrzeni Nauki i tematem; nagrywanie po stronie Zoom wyłączone). Rejestrujemy zdarzenia obecności (kto, kiedy dołączył i opuścił) na potrzeby frekwencji i rozliczeń. Nie nagrywamy lekcji — patrz § 19.3 i Dokument D1 § 6.

§ 18. Treści o Tobie i dane, które upubliczniasz

18.1. Treści tworzone o Tobie przez korepetytora: notatki (widzisz wyłącznie opublikowane; wersje robocze są prywatne dla korepetytora), tematy i cele nauki, notatka o nieobecności (prywatna dla korepetytora, ale zwracana w Twoim eksporcie danych). Dostęp do tych treści realizujesz w produkcie oraz żądaniem z art. 15 (§ 10.2). Notatki, tematy i cele nauki są dokumentacją dydaktyczną korepetytora jako ich odrębnego administratora (§ 2.2) i nie są usuwane wraz z Twoim kontem u nas (§ 10.5); notatkę o nieobecności usuwamy przy usunięciu Twojego konta.

18.2. Treści tworzone o Tobie przez nas: uzasadnienia Ostrzeżeń i blokad, rozstrzygnięcia reklamacji i odwołań, dokumentacja wniosków prywatnościowych.

18.3. Ostrzeżenie (art. 9 RODO): pola tekstowe platformy (czat, notatki, opisy reklamacji, powody nieobecności) nie służą do przekazywania danych o zdrowiu ani innych danych szczególnych kategorii. Prosimy, nie wpisuj ich; wpisane traktujemy wyłącznie jako treść wolnego tekstu autora i usuwamy na żądanie.

18.4. Profil korepetytora jest widoczny dla zalogowanych użytkowników platformy (obejmuje m.in. imię i nazwisko, opis, przybliżoną lokalizację, materiał wideo z YouTube). Opinie o korepetytorze są publikowane z oznaczeniem autora imieniem i inicjałem nazwiska (jeżeli dorosły autor nie ma zapisanego nazwiska — samym imieniem); opinia, której autor w chwili wystawienia miał mniej niż 18 lat, jest publikowana wyłącznie z samym imieniem autora (bez nazwiska i bez jego inicjału) oraz z neutralnym awatarem niezawierającym wizerunku ani elementów pochodzących od danych lub identyfikatorów konta autora (Dokument D8 § 9.3). Opinie i profil są usuwane wraz z kontem autora.

18.5. Awatary zastępcze są generowane przez usługi zewnętrzne (DiceBear — na podstawie identyfikatora konta; ui-avatars — na podstawie nazwy rozmowy): Twoja przeglądarka pobiera obrazek bezpośrednio z tych usług (§ 7). Nie dotyczy to awatara towarzyszącego opinii, której autor w chwili wystawienia miał mniej niż 18 lat — taki awatar jest neutralny i nie powstaje na podstawie danych ani identyfikatorów jego konta (§ 18.4).

18.6. Artefakty klasy: czat lekcyjny, tablica, pliki i zapisy frekwencji pozostają w Przestrzeni Nauki na zasadach opisanych w Regulaminie (Dokument D1 § 6), w tym z regułą Cięcia Wiedzy po zakończeniu współpracy.

§ 19. Sztuczna inteligencja i nagrywanie

19.1. Nie korzystamy z funkcji sztucznej inteligencji. Żadne Twoje dane — w tym treści rozmów — nie są przetwarzane przez systemy AI ani używane do trenowania modeli. Wcześniejsze zapisy o „zgodach na AI" zostają wycofane jako bezprzedmiotowe.

19.2. Jeżeli w przyszłości wprowadzimy funkcję AI: poinformujemy Cię z wyprzedzeniem, wskażemy podstawę prawną, a tam, gdzie prawo tego wymaga, zapytamy o odrębną zgodę; przeprowadzimy lub zaktualizujemy ocenę skutków dla ochrony danych (DPIA). Twarde granice: bez rozpoznawania emocji i bez profilowania małoletnich.

19.3. Nagrywanie lekcji: nie nagrywamy. Platforma nie rejestruje lekcji (dźwięku ani obrazu) i nie przechowuje nagrań; nagrywanie po stronie awaryjnego dostawcy wideo jest wyłączone. Zasady dotyczące ewentualnego nagrywania przez uczestników — Dokument D6.

19.4. Nagrywanie sesji w przeglądarce (analityka): nagrywamy — wyłącznie po Twojej zgodzie. Niezależnie od ust. 19.3 narzędzie analityczne (PostHog — § 7.1) ma włączone nagrywanie sesji: odtwarzalny zapis tego, co działo się w interfejsie aplikacji w trakcie Twojej sesji — ruchy i kliknięcia, przewijanie, zmiany ekranów i zmiany widocznej zawartości strony. Nagranie nie obejmuje obrazu z kamery, dźwięku ani wideo lekcji. Treść wiadomości czatu, czatu lekcyjnego i pól tekstowych jest w nagraniu maskowana (zastępowana znakami zastępczymi) i nie trafia do narzędzia analitycznego — dotyczy to wszystkich kont, bo rozmowa zawsze zawiera także wiadomości drugiej strony. Nagrywanie uruchamia się wyłącznie po zgodzie analitycznej w banerze cookies (Dokument D7 § 3) i nigdy wobec kont osób poniżej 18 lat ani o nieznanym wieku — także wtedy, gdy osoba w wieku 16–17 lat wyraziła zgodę analityczną (pozostała analityka działa u niej na zasadach z § 4.9); wycofanie zgody zatrzymuje je natychmiast. Nagrania są pseudonimowe (losowy identyfikator, nie konto), przechowywane w instancji EU nie dłużej niż 90 dni, a następnie usuwane automatycznie. Służą wyłącznie zrozumieniu, jak działa produkt i gdzie pojawiają się błędy; nie służą ocenie użytkowników ani podejmowaniu wobec nich decyzji.

§ 20. Skąd mamy Twoje dane (źródła — art. 14 RODO)

20.1. Dane, których nie podajesz nam sam:

• od Twojego dziecka — adres e-mail rodzica wskazany przy autoryzacji (§ 4.4);
• od Twojego rodzica/opiekuna — jeżeli konto założył dla Ciebie rodzic (§ 4.3 pkt 5): imię i nazwisko, data urodzenia i adres e-mail; tę informację pokazujemy Ci przy pierwszym logowaniu w aplikacji internetowej, zanim wejdziesz do panelu (§ 20.2);
• od osoby zapraszającej — adres e-mail zapraszanego do Przestrzeni Nauki lub na lekcję;
• od dostawców tożsamości (Google, Apple, Microsoft przez WorkOS) — dane profilu przy logowaniu;
• od Stripe — status weryfikacji KYC i stanu konta korepetytora;
• od dostawców infrastruktury — przybliżona geolokalizacja z adresu IP, zdarzenia obecności na lekcjach wideo, potwierdzenia doręczeń powiadomień;
• od innych użytkowników — treści, w których o Tobie piszą (opinie, notatki, zgłoszenia, reklamacje).

20.2. Klauzulę informacyjną dla osób, których dane pozyskaliśmy od kogoś innego, przekazujemy najpóźniej przy pierwszej wiadomości do tej osoby. Dziecku, którego konto założył rodzic, przekazujemy ją na ekranie przy pierwszym logowaniu w aplikacji internetowej, w wersji dostosowanej do wieku (Dokument D8 § 12); klauzula ta obejmuje co najmniej: wskazanie, kto podał nam dane dziecka i jakie, przysługujące dziecku prawa, pouczenie o prawie wniesienia skargi do organu nadzorczego (Prezesa UODO — § 10.10) oraz link do pełnej treści tej Polityki. Fakt jej przedstawienia zapisujemy (§ 3.8).

§ 21. Zmiany tej Polityki i skargi

21.1. Polityka jest wersjonowana odrębnie dla każdego języka; każda wersja ma stały adres i skrót kryptograficzny treści (SHA-256), a archiwum wersji pozostaje dostępne. O każdej zmianie zawiadamiamy e-mailem i wpisem w aplikacji (zawiadomień prawnych nie można wyłączyć) — z zapowiedzią co najmniej 7 dni przed wejściem zmian w życie.

21.2. Dalsze korzystanie z platformy po wejściu zmian w życie wymaga potwierdzenia zapoznania się z nową wersją. Nawet bez potwierdzenia zachowujesz dostęp do: wylogowania, eksportu danych, usunięcia konta, odczytu dokumentów, a korepetytor — do wypłaty swoich środków.

21.3. Skargę możesz wnieść do Prezesa UODO (§ 10.10). Ta Polityka nie ogranicza żadnych Twoich praw ustawowych.