Політика приватності

Ta polityka opisuje, jak przetwarzamy dane osobowe w serwisie latweprawko.pl (dalej: Serwis) i w aplikacji mobilnej Łatweprawko na iOS i Android (dalej: Aplikacja). Serwis i Aplikacja razem to Platforma; korzystają z tego samego Konta i tych samych serwerów, dlatego zasady są wspólne, a różnice dotyczące Aplikacji opisuje sekcja 10. Pojęcia Konto i Pakiet mają znaczenie z regulaminu.

1. Administrator i kontakt

Administratorem danych osobowych jest PRESSWAY Bartłomiej Paluch, Zarzecze 268, 38-220 Dębowiec, NIP 6852340178. W sprawach danych osobowych napisz na kontakt@latweprawko.pl albo przez zakładkę Kontakt. Nie mamy obowiązku wyznaczenia inspektora ochrony danych (art. 37 RODO) i go nie wyznaczyliśmy.

2. Skąd mamy dane

• Od ciebie: przy rejestracji, zakupie, w ustawieniach, w zgłoszeniach błędów i wiadomościach do nas.
• Automatycznie podczas korzystania: odpowiedzi na pytania, czasy odpowiedzi, wyniki egzaminów, dane techniczne urządzenia i połączenia (adres IP, przeglądarka lub wersja Aplikacji, system).
• Od dostawców logowania (Google, Apple, Facebook): identyfikator konta u dostawcy, adres e-mail i imię, gdy logujesz się przez nich.
• Od operatora płatności (ING Bank Śląski S.A.): identyfikator i status transakcji oraz użytą metodę płatności; danych karty ani rachunku nie otrzymujemy.
• Od sklepów z aplikacjami (App Store, Google Play): identyfikator transakcji, produkt i status zakupu lub zwrotu, gdy kupujesz Pakiet w Aplikacji. Sklepy nie przekazują nam danych płatniczych ani adresu.
• Z rejestrów publicznych: przy zakupie na firmę pobieramy nazwę i adres firmy z wykazu podatników VAT Ministerstwa Finansów i z CEIDG po wpisaniu NIP; zapytania nie zapisujemy, zapisujemy dane zatwierdzone w zamówieniu.

Podanie danych jest dobrowolne. Imię, adres e-mail i hasło (albo konto zewnętrzne) są warunkiem umowy o Konto: bez nich Konta nie założysz. Imię i e-mail są warunkiem zamówienia. Nazwa, NIP i adres firmy przy zakupie na firmę są wymogiem ustawowym (przepisy o fakturach): bez nich nie wystawimy faktury na firmę. Zgody (nowości, cookies) są w pełni dobrowolne i ich brak niczego nie ogranicza.

3. Cele, podstawy prawne i okresy przechowywania

Cel	Dane	Podstawa prawna (RODO)	Jak długo
Konto i świadczenie usług: kurs, egzaminy, statystyki, znaki, ustawienia	imię, e-mail, hasło (tylko skrót), język, kategoria, odpowiedzi i czasy odpowiedzi, wyniki, model powtórek, zaznaczone znaki, ustawienia powiadomień	umowa (art. 6 ust. 1 lit. b)	do usunięcia Konta; szczegółowy przegląd odpowiedzi w egzaminie: 24 miesiące (podsumowanie zostaje w historii), pozycje sesji nauki: 12 miesięcy (liczniki i statystyki zostają)
Logowanie Google, Apple, Facebook	identyfikator u dostawcy, e-mail, imię, zdjęcie profilowe (jeśli dostawca je przekaże)	umowa (art. 6 ust. 1 lit. b)	do odłączenia konta zewnętrznego lub usunięcia Konta
Bezpieczeństwo Konta: weryfikacja dwuetapowa, zaufane urządzenia, sesje, ochrona przed nadużyciami i limity	sekret 2FA i kody zapasowe (zaszyfrowane), nazwa przeglądarki lub urządzenia, adres IP, czas logowania, identyfikator sesji, token trwałego logowania, skrót adresu IP przy zgłoszeniach i egzaminach demo	prawnie uzasadniony interes: ochrona Konta i Platformy przed nieuprawnionym dostępem i nadużyciami (art. 6 ust. 1 lit. f)	sesja: do wylogowania albo 2 godziny bez aktywności; trwałe logowanie ("Nie wylogowuj mnie" i logowanie Google, Apple, Facebook): do 400 dni albo do wylogowania; zaufane urządzenie: 30 dni; dziennik działań administracyjnych: 12 miesięcy; logi serwera: nie dłużej niż 12 miesięcy
Bezpłatny egzamin próbny bez Konta	losowy identyfikator sesji demo (w bazie tylko skrót), skrót adresu IP, wyniki i odpowiedzi	prawnie uzasadniony interes: udostępnienie demo i pilnowanie limitu (art. 6 ust. 1 lit. f)	30 dni od ostatniej aktywności; po rejestracji z tej samej przeglądarki wyniki przechodzą na Konto
Zakup Pakietu w Serwisie, obsługa zamówienia i płatności	imię, e-mail, dane do faktury (przy zakupie na firmę: nazwa, NIP, adres), wybrany Pakiet, kwota, kod rabatowy, identyfikatory transakcji i metoda płatności od operatora, adres IP zamówienia, treść złożonych zgód	umowa (art. 6 ust. 1 lit. b)	zamówienia i faktury: 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku od tej sprzedaży (obowiązek prawny, art. 6 ust. 1 lit. c)
Zakup Pakietu w Aplikacji (App Store, Google Play)	identyfikator transakcji i produktu w Sklepie, status zakupu, data, powiązanie z Kontem	umowa (art. 6 ust. 1 lit. b)	jak zamówienia: 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku
Faktury, ewidencja sprzedaży, księgowość, podatki	dane z faktury i zamówienia	obowiązek prawny (art. 6 ust. 1 lit. c): ustawa o VAT, Ordynacja podatkowa	5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku
Podpowiedź nazwy i adresu firmy po NIP przy zakupie na firmę	NIP wpisany w formularzu	umowa, na twoje żądanie (art. 6 ust. 1 lit. b)	zapytanie nie jest zapisywane; zapisywane są dane, które zatwierdzisz w zamówieniu
Reklamacje, odstąpienie, zwroty, odpowiedzi na pytania	treść wiadomości, e-mail, dane zamówienia	umowa i obowiązek prawny (art. 6 ust. 1 lit. b i c)	do zakończenia sprawy, a następnie do upływu przedawnienia roszczeń (6 lat dla roszczeń Konsumenta wobec nas, 3 lata dla naszych roszczeń, liczone do końca roku kalendarzowego)
Zgłoszenia błędów w pytaniach i wytłumaczeniach	treść zgłoszenia, kontekst (egzamin, nauka, strona), Konto (jeśli zalogowany), skrót adresu IP	prawnie uzasadniony interes: jakość treści i ochrona przed nadużyciem formularza (art. 6 ust. 1 lit. f)	24 miesiące od zgłoszenia
E-maile o Koncie i umowie: potwierdzenie adresu, reset hasła, kody, potwierdzenie zamówienia z regulaminem, faktura, zmiany regulaminu	e-mail, imię	umowa (art. 6 ust. 1 lit. b)	do usunięcia Konta
Przypomnienia o nauce (e-mail, push w Aplikacji)	e-mail, token push, strefa czasowa, dane o postępach (kiedy ostatnia sesja, powtórki po terminie)	umowa: funkcja Platformy włączana i wyłączana w ustawieniach (art. 6 ust. 1 lit. b); przypomnienia dotyczą wyłącznie twojej nauki i nie zawierają ofert ani promocji	do wyłączenia w ustawieniach lub usunięcia Konta
Informacje o nowościach i ofertach	e-mail, imię, język	zgoda (art. 6 ust. 1 lit. a RODO oraz art. 398 Prawa komunikacji elektronicznej) udzielona w ustawieniach Konta, domyślnie wyłączona; można ją cofnąć w każdej chwili	do cofnięcia zgody
Statystyki odwiedzin Serwisu (Plausible)	adres strony, źródło wejścia, kraj, typ urządzenia i przeglądarki; bez plików cookies i bez trwałego identyfikatora (dzienny skrót z adresu IP i przeglądarki kasowany po 24 godzinach)	prawnie uzasadniony interes: pomiar działania Serwisu (art. 6 ust. 1 lit. f)	tylko w formie zagregowanej, bezterminowo
Analityka i piksele reklamowe (Google Analytics, Google Ads, Meta, TikTok)	identyfikatory z cookies, zdarzenia (odwiedziny, rejestracja, start egzaminu, zakup), dane urządzenia i adres IP	zgoda (art. 6 ust. 1 lit. a RODO oraz art. 399 Prawa komunikacji elektronicznej) udzielona w banerze cookies; można ją cofnąć w stopce Serwisu	zgodnie ze stroną Cookies; zgoda zapisana na 12 miesięcy
Dostarczanie multimediów pytań przez sieć CDN	adres IP i dane połączenia w logach dostawcy CDN	prawnie uzasadniony interes: szybkie i bezpieczne dostarczanie plików (art. 6 ust. 1 lit. f)	zgodnie z retencją logów dostawcy, nie dłużej niż 12 miesięcy
Ustalanie, dochodzenie i obrona roszczeń, audyt bezpieczeństwa	dane z powyższych wierszy w niezbędnym zakresie	prawnie uzasadniony interes (art. 6 ust. 1 lit. f)	do przedawnienia roszczeń

Po usunięciu Konta dane Konta są anonimizowane (imię i e-mail zastępujemy wartościami zastępczymi, hasło, konta zewnętrzne i tokeny push kasujemy), dane nauki wraz z dziennikiem odpowiedzi są kasowane, a wyniki egzaminów zostają bez powiązania z osobą i bez adresu IP, wyłącznie do statystyk zbiorczych. Zamówienia i faktury zostają przez okres wymagany przepisami podatkowymi.

4. Profilowanie i decyzje automatyczne

Algorytm doboru pytań (FSRS) analizuje twoje odpowiedzi, aby zaplanować powtórki i oszacować szansę zdania. Działa wyłącznie na potrzeby nauki, nie ocenia cię jako osoby i nie wywołuje skutków prawnych. Nie podejmujemy wobec ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na ciebie wpływały (art. 22 RODO). Narzędzia reklamowe działające za twoją zgodą mogą profilować cię na potrzeby reklam u ich dostawców; opisuje to strona Cookies.

Nie przekazujemy danych użytkowników do narzędzi sztucznej inteligencji. Narzędzia AI wspierają wyłącznie pracę redakcji nad treścią pytań, wytłumaczeń i tłumaczeń, a każdą propozycję zatwierdza człowiek.

5. Odbiorcy danych

Dane powierzamy albo udostępniamy tylko podmiotom, które są potrzebne do działania Platformy. Podmioty oznaczone (P) przetwarzają dane na nasze zlecenie na podstawie umowy powierzenia (art. 28 RODO); pozostałe są odrębnymi administratorami albo współadministratorami w swoim zakresie.

• Hosting i infrastruktura (P): dostawca serwera, na którym działa Platforma (centrum danych w Unii Europejskiej); Cloudflare, Inc. (USA) do przechowywania multimediów pytań, faktur PDF i kopii zapasowych oraz jako sieć dostarczania treści.
• Płatności w Serwisie: ING Bank Śląski S.A., ul. Sokolska 34, 40-086 Katowice, jako operator bramki ING Pay. Bank jest odrębnym administratorem danych płatnika w zakresie realizacji płatności; zasady opisuje jego regulamin i informacja o przetwarzaniu danych. Faktury wystawiamy w usłudze ING Księgowość (ING Usługi dla Biznesu S.A., ul. Chorzowska 50, 40-121 Katowice) (P).
• Sklepy z aplikacjami: Apple Distribution International Ltd. (Hollyhill Industrial Estate, Cork, Irlandia) i Google Commerce Limited (70 Sir John Rogerson's Quay, Dublin 2, Irlandia) jako odrębni administratorzy rozliczający zakupy w Aplikacji na swoich warunkach; do nas trafia tylko potwierdzenie transakcji.
• Logowanie zewnętrzne: Google Ireland Limited, Apple Distribution International Ltd., Meta Platforms Ireland Limited, gdy wybierzesz logowanie przez nich (odrębni administratorzy w zakresie swoich kont).
• Powiadomienia push w Aplikacji (P): Expo (650 Industries, Inc., USA) jako usługa pośrednicząca, która przechowuje token urządzenia i treść powiadomienia tylko do chwili przekazania, oraz Apple (APNs) i Google (FCM) jako dostawcy systemów powiadomień.
• Poczta e-mail (P): dostawca usługi wysyłki e-mail, który dostarcza nasze wiadomości.
• Statystyki (P): Plausible Insights OÜ (Tartu, Estonia), analityka bez cookies, dane na serwerach w Unii Europejskiej.
• Analityka i reklama za zgodą: Google Ireland Limited (Google Analytics 4, Google Ads) jest odrębnym administratorem danych zebranych przez swoje narzędzia. Z Meta Platforms Ireland Limited (Meta Pixel) oraz z TikTok Technology Limited i TikTok Information Technologies UK Limited (TikTok Pixel) jesteśmy współadministratorami w zakresie zbierania zdarzeń w Serwisie i ich przesyłania do tych dostawców: my odpowiadamy za zebranie zgody i informację, dostawcy za dalsze przetwarzanie u siebie i za realizację twoich praw wobec ich systemów. Zasadnicza treść uzgodnień: Meta - facebook.com/legal/controller_addendum, TikTok - tiktok.com/legal/page/global/tiktok-analytics-joint-controller-addendum/en. Skrypty Meta i TikTok ładują się dopiero po zgodzie; skrypt Google działa przed zgodą w trybie odmowy opisanym na stronie Cookies.
• Obsługa księgowa i prawna (P): biuro rachunkowe lub doradca, jeżeli z nich korzystamy, w zakresie faktur i sporów.
• Organy publiczne: gdy wymagają tego przepisy (np. organy podatkowe, sądy, Policja) na podstawie właściwego żądania.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

Część dostawców ma siedziby lub serwery także poza EOG, w tym w USA. Z Cloudflare, Inc. i 650 Industries, Inc. (Expo) przekazujemy dane na podstawie decyzji Komisji Europejskiej z 10 lipca 2023 r. o odpowiednim stopniu ochrony (EU-U.S. Data Privacy Framework), w której obie spółki mają certyfikat (lista: dataprivacyframework.gov/list), a dodatkowo na podstawie standardowych klauzul umownych w ich umowach powierzenia. Google, Meta, TikTok i Apple obsługują nas przez spółki z Irlandii; ewentualne dalsze przekazanie danych do USA lub innych państw odbywa się na ich odpowiedzialność: Google LLC i Meta Platforms, Inc. mają certyfikat DPF, Apple i TikTok stosują standardowe klauzule umowne, a TikTok może przekazywać dane także do innych krajów, w których działa jego grupa (w tym do Chin), zgodnie ze swoją polityką prywatności. Stosujemy dodatkowe zabezpieczenia: szyfrowanie w tranzycie i w spoczynku oraz minimalizację danych. Kopię zabezpieczeń możesz uzyskać, pisząc do nas.

7. Twoje prawa

Masz prawo do:

• dostępu do danych i otrzymania ich kopii,
• sprostowania danych (imię, e-mail, język i kategorię zmienisz w ustawieniach),
• usunięcia danych (Konto usuniesz w ustawieniach po podaniu hasła, a przy logowaniu wyłącznie przez Google, Apple lub Facebook bez hasła, albo pisząc do nas; dane z faktur zachowujemy przez okres wymagany przepisami podatkowymi),
• ograniczenia przetwarzania,
• przenoszenia danych: w ustawieniach pobierzesz plik JSON z danymi Konta, zamówieniami, historią egzaminów i nauki,
• cofnięcia zgody w każdej chwili (nowości: ustawienia Konta; cookies: link "Ustawienia cookies" w stopce Serwisu); cofnięcie nie wpływa na zgodność z prawem przetwarzania sprzed cofnięcia; przypomnienia wyłączysz w ustawieniach Konta, Aplikacji albo w ustawieniach systemu telefonu,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl).

Prawo sprzeciwu. Możesz w każdej chwili wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie (sekcja 3), z przyczyn związanych z twoją szczególną sytuacją. Po sprzeciwie przestaniemy przetwarzać dane w tym celu, chyba że wykażemy ważne, nadrzędne podstawy albo potrzebę ustalenia, dochodzenia lub obrony roszczeń.

Na wnioski odpowiadamy bez zbędnej zwłoki, w ciągu miesiąca, a w sprawach złożonych do 3 miesięcy; o przedłużeniu poinformujemy. Możemy poprosić o potwierdzenie tożsamości, np. wiadomość z adresu e-mail przypisanego do Konta.

8. Bezpieczeństwo

Hasła przechowujemy wyłącznie w postaci skrótu (bcrypt). Połączenia z Platformą są szyfrowane (HTTPS), tokeny Aplikacji są przechowywane w bezpiecznym magazynie systemu (Keychain, Keystore). Sekrety weryfikacji dwuetapowej są zaszyfrowane, a tokeny sesji demo i zaufanych urządzeń zapisujemy tylko jako skróty. Dostęp do danych mają wyłącznie osoby upoważnione, a działania w panelu administracyjnym są rejestrowane. Kopie zapasowe są przechowywane w magazynie szyfrowanym w spoczynku, dostępnym tylko dla administratora. W razie naruszenia ochrony danych, które może powodować wysokie ryzyko dla twoich praw, poinformujemy cię o tym zgodnie z art. 34 RODO.

9. Dzieci

Konto może założyć samodzielnie osoba, która ukończyła 16 lat. Osoba młodsza (np. przygotowująca się do kategorii AM) może korzystać z Konta, jeżeli rodzic lub opiekun zaakceptuje regulamin w jej imieniu. Zgody, o które pytamy w Serwisie (informacje o nowościach, cookies analityczne i marketingowe), są ważne u osoby poniżej 16 lat tylko wtedy, gdy wyrazi je lub zatwierdzi rodzic lub opiekun (art. 8 RODO). Nie weryfikujemy wieku i nie zbieramy świadomie danych dzieci poniżej 16 lat bez takiej zgody; jeżeli dowiemy się, że Konto osoby poniżej 16 lat działa bez zgody opiekuna, usuniemy je. Rodzicu, jeśli masz pytania, napisz na kontakt@latweprawko.pl.

10. Aplikacja mobilna

• Co zbiera Aplikacja: dane Konta (imię, e-mail, identyfikator Konta), dane nauki (odpowiedzi, czasy, wyniki), historię zakupów w Sklepie (identyfikator transakcji, produkt, status), dane powiadomień (token push, platforma, nazwa urządzenia, wersja Aplikacji i systemu, język, strefa czasowa, aby wysyłać przypomnienia o rozsądnej porze) oraz dane techniczne połączenia (adres IP w logach serwera). Aplikacja nie zbiera lokalizacji, kontaktów, identyfikatora reklamowego ani danych z innych aplikacji i nie zawiera zewnętrznych zestawów SDK analitycznych ani reklamowych.
• Uprawnienia: Aplikacja prosi wyłącznie o zgodę na powiadomienia. Nie korzysta z lokalizacji, kontaktów, aparatu, mikrofonu ani zdjęć.
• Token push: kasujemy go po wylogowaniu i usunięciu Konta; token oznaczony przez system jako nieaktywny (Aplikacja odinstalowana albo powiadomienia wyłączone) kasujemy po 30 dniach.
• Zakupy: obsługują je App Store i Google Play. Nie widzimy numeru karty ani danych konta w Sklepie; otrzymujemy tylko identyfikator transakcji, produkt i status. Apple i Google mogą przekazywać nam zbiorcze statystyki sprzedaży i raporty awarii, jeżeli włączysz udostępnianie takich danych w ustawieniach telefonu.
• Sklepy jako administratorzy: pobranie Aplikacji, oceny, recenzje, płatności i zwroty odbywają się w ramach relacji z Apple lub Google, na podstawie ich polityk prywatności.
• Bez cookies: Aplikacja nie używa plików cookies. Token logowania i ustawienia przechowuje lokalnie na telefonie; usuwa je wylogowanie lub odinstalowanie Aplikacji.
• Reklamy: obecnie Aplikacja nie zawiera reklam ani zestawów SDK reklamowych. Jeżeli w przyszłości wprowadzimy reklamy w bezpłatnej części Aplikacji, przed uruchomieniem zaktualizujemy tę politykę, opiszemy dostawców i dane (np. identyfikator reklamowy urządzenia), a reklamy personalizowane włączymy wyłącznie za twoją odrębną zgodą wyrażoną w Aplikacji (na iOS także w systemowym oknie App Tracking Transparency).
• Wersje w Sklepach: informacje w sekcjach "Prywatność w aplikacji" (App Store) i "Bezpieczeństwo danych" (Google Play) odpowiadają tej polityce.

11. Pliki cookies

Zasady używania plików cookies i podobnych technologii w Serwisie (w tym pamięci przeglądarki), listę cookies, ich czas życia i sposób zmiany zgody opisuje strona Cookies.

12. Zmiany polityki

Polityka może być aktualizowana wraz ze zmianami Platformy, dostawców lub przepisów. O istotnych zmianach (np. nowa kategoria odbiorców, reklamy w Aplikacji) poinformujemy e-mailem lub w Platformie przed ich wejściem w życie. Aktualna wersja obowiązuje od 15.09.2026.