Polityka prywatności

Szkic do weryfikacji przez prawnika. Ten dokument nie jest jeszcze obowiązującą polityką prywatności. Miejsca oznaczone [uzupełnić] i [do decyzji] wymagają danych albo decyzji właściciela serwisu.

Wersja z dnia [uzupełnić: data wejścia w życie].

Zbieramy tylko te dane, które są naprawdę potrzebne. Nie mamy reklam i nie śledzimy Cię po innych stronach. Statystyki odwiedzin zbieramy na dwa sposoby: bez ciasteczek (Cloudflare Web Analytics, Ahrefs Web Analytics) i — tylko za Twoją zgodą — przez Google Analytics 4 i Microsoft Clarity. Poniżej wyjaśniamy wszystko po kolei.

1. Kto jest administratorem Twoich danych

Administratorem danych osobowych w serwisie ogarnijinternet.pl jest [uzupełnić: imię i nazwisko, firma, adres, NIP] („my”).

W sprawach danych osobowych napisz do nas: [uzupełnić: e-mail] albo na adres: [uzupełnić].

2. Jakie dane zbieramy i po co

Lista oczekujących

• Dane: adres e-mail, imię (jeśli je podasz), wybrany kurs.
• Po co: żeby powiadomić Cię, gdy ruszy kurs, na który czekasz.
• Podstawa prawna: art. 6 ust. 1 lit. a RODO (Twoja zgoda). Możesz ją wycofać w każdej chwili, klikając link w wiadomości albo pisząc do nas. Wycofanie zgody nie wpływa na to, co zrobiliśmy wcześniej.

Konto i zakupy

(ta część zacznie działać, gdy uruchomimy sprzedaż kursów)

• Dane: adres e-mail, imię, hasło (przechowujemy wyłącznie jego zaszyfrowany skrót, nigdy samo hasło), historia zamówień, postęp w kursie, a jeśli poprosisz o fakturę: dane potrzebne do jej wystawienia.
• Po co: żeby założyć i prowadzić Twoje konto, sprzedać i udostępnić kurs, zapamiętać, które lekcje już obejrzałeś, oraz rozpatrzyć ewentualną reklamację lub odstąpienie od umowy.
• Podstawa prawna: art. 6 ust. 1 lit. b RODO (umowa), a w zakresie dokumentów księgowych art. 6 ust. 1 lit. c RODO (obowiązek prawny wynikający z przepisów podatkowych i rachunkowych).
• Znak wodny: podczas oglądania kursu na odtwarzaczu może być widoczny Twój adres e-mail. Widzisz go tylko Ty. Chroni kurs przed kopiowaniem.

Kontakt z nami

• Dane: to, co napiszesz w wiadomości, i Twój adres e-mail.
• Po co: żeby odpowiedzieć.
• Podstawa prawna: art. 6 ust. 1 lit. f RODO (nasz uzasadniony interes: odpowiadanie na wiadomości), a gdy sprawa dotyczy umowy — art. 6 ust. 1 lit. b RODO.

Bezpieczeństwo i ewentualne spory

• Dane: techniczne dane logowania (np. adres IP, czas logowania) oraz dane z zamówień i korespondencji.
• Po co: żeby chronić konta przed włamaniem, wykrywać nadużycia (np. udostępnianie kursu) oraz w razie potrzeby ustalić, dochodzić lub bronić roszczeń.
• Podstawa prawna: art. 6 ust. 1 lit. f RODO (nasz uzasadniony interes).

3. Czy musisz podać dane

Podanie danych jest dobrowolne, ale bez adresu e-mail nie zapiszemy Cię na listę oczekujących i nie sprzedamy kursu. Imię jest zawsze opcjonalne.

4. Komu przekazujemy dane

Nie sprzedajemy Twoich danych. Przekazujemy je tylko tym, bez których serwis nie zadziała:

• PayU S.A. z siedzibą w Poznaniu (ul. Grunwaldzka 186, 60-166 Poznań) — obsługuje płatności. W zakresie danych potrzebnych do płatności PayU jest odrębnym administratorem Twoich danych i przetwarza je według własnej polityki prywatności dostępnej na stronie PayU.
• Fastmail Pty Ltd (Australia) — dostawca poczty, przez którego wysyłamy wiadomości transakcyjne: link logowania, reset hasła, potwierdzenie zakupu. Fastmail przetwarza Twój adres e-mail i treść tych wiadomości na nasze zlecenie (podmiot przetwarzający). Więcej w punkcie 5.
• Dostawca serwera (hosting) — [uzupełnić: nazwa dostawcy VPS, kraj w UE]. Na tym serwerze działa strona, baza danych i nagrania kursu.
• [uzupełnić, jeśli dotyczy: biuro rachunkowe / program do faktur — nazwa]
• [do decyzji: narzędzie do wysyłki ogłoszeń dla listy oczekujących, np. MailerLite — dopisać, jeśli zostanie wdrożone, wraz z informacją o transferze danych]
• Cloudflare, Inc. (USA) — sieć, przez którą strona trafia do Twojej przeglądarki (ochrona przed atakami, szybsze ładowanie), oraz statystyki bez ciasteczek (Cloudflare Web Analytics). Przetwarza dane techniczne połączenia na nasze zlecenie.
• Ahrefs Pte. Ltd. (Singapur) — statystyki odwiedzin bez ciasteczek (Ahrefs Web Analytics). Przetwarza dane techniczne wizyty na nasze zlecenie.
• Google Ireland Limited (Irlandia) — Google Analytics 4, tylko po Twojej zgodzie. Przetwarza dane o korzystaniu ze strony na nasze zlecenie.
• Microsoft Corporation (USA) — Microsoft Clarity, tylko po Twojej zgodzie. Przetwarza dane o korzystaniu ze strony na nasze zlecenie.
• Organy publiczne — tylko wtedy, gdy wymaga tego prawo.

5. Przekazywanie danych poza Europejski Obszar Gospodarczy

Wiadomości e-mail wysyłamy przez Fastmail, czyli firmę z siedzibą w Australii. Według polityki prywatności Fastmail dane mogą być przekazywane m.in. do USA, Holandii, Australii, Indii i Austrii, a kopie zapasowe, logi i systemy diagnostyczne Fastmail znajdują się w USA.

Dla Australii Komisja Europejska nie wydała decyzji stwierdzającej odpowiedni poziom ochrony danych. Dlatego przekazanie danych opiera się na standardowych klauzulach umownych przyjętych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO), które są częścią umowy o ochronie danych (DPA) Fastmail.

[do decyzji: ustawić w koncie Fastmail przechowywanie danych w UE (Amsterdam) — nawet wtedy kopia danych i kopie zapasowe trafiają do USA, więc klauzule nadal są potrzebne]

Cloudflare, Google (w ramach grupy Google LLC) i Microsoft mogą przetwarzać dane w USA. Te firmy uczestniczą w programie EU-US Data Privacy Framework, dla którego Komisja Europejska wydała 10 lipca 2023 r. decyzję stwierdzającą odpowiedni poziom ochrony (art. 45 RODO); uzupełniająco stosują standardowe klauzule umowne. [do weryfikacji przez prawnika: aktualny status certyfikacji każdego z dostawców]

Ahrefs ma siedzibę w Singapurze, dla którego Komisja Europejska nie wydała decyzji stwierdzającej odpowiedni poziom ochrony — przekazanie danych opiera się na standardowych klauzulach umownych (art. 46 ust. 2 lit. c RODO) z umowy powierzenia Ahrefs. [do weryfikacji przez prawnika: DPA Ahrefs i miejsce przetwarzania danych]

Możesz poprosić nas o kopię tych zabezpieczeń, pisząc na adres z punktu 1.

6. Jak długo przechowujemy dane

Dane	Jak długo
Lista oczekujących	do wycofania zgody, a najdłużej [do decyzji: np. 6 miesięcy] od startu kursu, na który czekasz
Konto	do czasu usunięcia konta
Zamówienia i dokumenty księgowe	przez okres wymagany przepisami podatkowymi i rachunkowymi, co do zasady 5 lat od końca roku, w którym powstał obowiązek podatkowy
Reklamacje, odstąpienia, korespondencja	do upływu terminów przedawnienia ewentualnych roszczeń [do weryfikacji: konkretny okres]
Logi bezpieczeństwa (np. adres IP przy logowaniu)	[do decyzji: np. 30 dni]
Statystyki Google Analytics 4 (po zgodzie)	[do decyzji: 2 albo 14 miesięcy — ustawienie przechowywania danych w GA4]; ciasteczka _ga i _ga_* do 2 lat w Twojej przeglądarce
Microsoft Clarity (po zgodzie)	według zasad Microsoft Clarity [do weryfikacji: nagrania sesji ok. 30 dni, dane zbiorcze ok. 13 miesięcy]; ciasteczko _clck do roku, _clsk do jednego dnia
Cloudflare Web Analytics	dane zbiorcze, bez identyfikatorów w przeglądarce [do weryfikacji: okres przechowywania wg Cloudflare]
Ahrefs Web Analytics	dane zbiorcze, bez identyfikatorów w przeglądarce [do weryfikacji: okres przechowywania wg Ahrefs]
Twoja decyzja w banerze zgód	12 miesięcy w pamięci przeglądarki (localStorage), potem pytamy ponownie

Po tych okresach usuwamy dane albo trwale je anonimizujemy.

7. Pliki cookies i statystyki

Niezbędne — nie wymagają zgody, bo bez nich nie da się świadczyć usługi, o którą prosisz (art. 399 ustawy Prawo komunikacji elektronicznej):

• ciasteczko sesji, które utrzymuje Cię zalogowanym; jest niedostępne dla skryptów na stronie (httpOnly) i znika po wylogowaniu lub wygaśnięciu sesji,
• zapis Twojej decyzji w banerze zgód (klucz oi_zgoda w pamięci przeglądarki), żeby nie pytać przy każdej wizycie,
• [do decyzji: ewentualne inne techniczne ciasteczka, np. ochrona formularzy — wymienić].

Statystyki bez ciasteczek — Cloudflare Web Analytics i Ahrefs Web Analytics. Liczymy odwiedziny, sprawdzamy szybkość ładowania stron i to, skąd przychodzą odwiedzający (np. która podstrona jest odwiedzana, z jakiego kraju, urządzenia i wyszukiwarki). Te narzędzia nie zapisują ciasteczek w Twojej przeglądarce i nie rozpoznają Cię między wizytami. Podstawa prawna: nasz prawnie uzasadniony interes, czyli poprawianie strony (art. 6 ust. 1 lit. f RODO). Możesz się sprzeciwić, pisząc do nas albo blokując skrypty w przeglądarce.

Statystyki za Twoją zgodą (art. 6 ust. 1 lit. a RODO; art. 399 ustawy Prawo komunikacji elektronicznej). Przy pierwszej wizycie pytamy w banerze; „Akceptuj” i „Odrzuć” są tak samo łatwe do kliknięcia. Zgodę możesz w każdej chwili zmienić lub wycofać przyciskiem „Ustawienia cookies” w stopce — wtedy usuwamy ciasteczka tych narzędzi z Twojej przeglądarki.

• Google Analytics 4 (Google Ireland Limited) — statystyki odwiedzin: odwiedzone podstrony, czas wizyty, źródło wejścia, przybliżona lokalizacja, typ urządzenia i przeglądarki. Po zgodzie zapisuje ciasteczka _ga i _ga_*. Nie używamy funkcji reklamowych: sygnały reklamowe Google Consent Mode (ad_storage, ad_user_data, ad_personalization) są zawsze wyłączone.
• Microsoft Clarity (Microsoft Corporation) — mapy cieplne i nagrania sesji, które pokazują, jak odwiedzający poruszają się po stronie (kliknięcia, przewijanie, ruchy myszy). Po zgodzie zapisuje ciasteczka _clck i _clsk. [do decyzji: włączyć w panelu Clarity maskowanie treści (tryb Strict) — wtedy wpisywane dane, np. adres e-mail w formularzu, nie trafiają do nagrań; tekst zakłada, że jest włączone]

Bez zgody skrypty Google Analytics i Microsoft Clarity w ogóle nie są pobierane, więc nie zbierają żadnych danych.

Nie używamy cookies reklamowych ani pikseli sieci społecznościowych.

8. Twoje prawa

Masz prawo:

• wiedzieć, jakie dane o Tobie mamy, i dostać ich kopię (art. 15 RODO),
• poprawić dane, jeśli są błędne (art. 16 RODO),
• usunąć dane (art. 17 RODO), chyba że musimy je zatrzymać, np. dla celów podatkowych,
• ograniczyć przetwarzanie (art. 18 RODO),
• przenieść dane, które nam podałeś, do innej firmy (art. 20 RODO),
• sprzeciwić się przetwarzaniu opartemu na naszym uzasadnionym interesie (art. 21 RODO),
• wycofać zgodę w każdej chwili, jeśli przetwarzamy dane na jej podstawie (art. 7 ust. 3 RODO),
• złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl), jeśli uważasz, że naruszamy przepisy.

Żeby skorzystać z tych praw, napisz na adres z punktu 1. Odpowiemy w ciągu miesiąca.

9. Czy podejmujemy decyzje automatycznie

Nie. Nie profilujemy Cię i nie podejmujemy wobec Ciebie decyzji w sposób zautomatyzowany w rozumieniu art. 22 RODO.

10. Jak chronimy dane

• Połączenie ze stroną jest szyfrowane (HTTPS).
• Hasła przechowujemy wyłącznie jako zaszyfrowany skrót (bcrypt).
• Link logowania wysyłany e-mailem jest jednorazowy i ważny 15 minut, a w bazie trzymamy tylko jego skrót.
• Nagrania kursu są dostępne tylko po zalogowaniu i nie mają publicznych adresów.
• [uzupełnić: kopie zapasowe — gdzie i jak zabezpieczone]

11. Dzieci

Serwis jest przeznaczony dla dorosłych: rodziców i opiekunów. Nie zbieramy świadomie danych osób poniżej 16 lat. Jeśli dowiesz się, że dziecko podało nam swoje dane, napisz do nas, a je usuniemy.

12. Zmiany polityki prywatności

Gdy zmienimy tę politykę, opublikujemy nową wersję na tej stronie, a o istotnych zmianach poinformujemy Cię e-mailem.