Polityka prywatności

Niniejsza Polityka prywatności wyjaśnia, jakie dane osobowe przetwarzamy w związku z działaniem platformy Ubiquu, w jakim celu i na jakiej podstawie prawnej to robimy, komu je powierzamy lub przekazujemy oraz jakie prawa Ci przysługują.

Ubiquu to polska platforma korepetycji (marketplace). Uczniowie znajdują tu korepetytorów, rezerwują i opłacają lekcje (online lub stacjonarnie), a korepetytorzy prowadzą zajęcia, zadają prace domowe i dzielą się materiałami. Dbamy o ochronę danych osobowych zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) oraz innymi obowiązującymi przepisami, w tym ustawą o świadczeniu usług drogą elektroniczną, Prawem telekomunikacyjnym, aktem o usługach cyfrowych (DSA) i ustawą o prawach konsumenta.

Piszemy prostym językiem — tak, aby treść była zrozumiała zarówno dla uczniów i rodziców, jak i dla korepetytorów.

1. Kto jest administratorem Twoich danych

Administratorem danych osobowych jest Paweł Romanowski, prowadzący jednoosobową działalność gospodarczą pod firmą Creatify Paweł Romanowski:

• Adres: ul. Nowatorów 11, 80-298 Gdańsk
• NIP: 5842869043
• REGON: 541861111
• E-mail kontaktowy (również w sprawach ochrony danych): [email protected]
• Telefon: +48 000 000 000

W sprawach dotyczących ochrony danych osobowych możesz się z nami kontaktować pod adresem e-mail wskazanym powyżej.

Inspektor ochrony danych (IOD): nie powołaliśmy inspektora ochrony danych. We wszystkich sprawach dotyczących Twoich danych kontaktuj się bezpośrednio z administratorem.

2. Kogo dotyczy ta polityka

Polityka dotyczy:

• uczniów — osób, które zakładają konto, wyszukują korepetytorów, rezerwują i opłacają lekcje oraz korzystają z prac domowych, czatu i plików;
• korepetytorów — osób, które prowadzą zajęcia, publikują publiczny profil, rozliczają się z nami za lekcje i korzystają z narzędzi do nauczania;
• odwiedzających — osób, które przeglądają publiczne części platformy bez zakładania konta;
• administratorów — osób zarządzających platformą po naszej stronie.

3. Jakie dane przetwarzamy

Zakres danych zależy od tego, kim jesteś i z jakich funkcji korzystasz.

3.1. Odwiedzający (bez konta)

• dane techniczne niezbędne do wyświetlenia strony (m.in. adres IP, informacje o przeglądarce, systemie i urządzeniu),
• dane analityczne o sposobie korzystania z serwisu — wyłącznie po wyrażeniu zgody w banerze cookies (kategoria „Analityczne”),
• parametry kampanii (np. utm_*, gclid, fbclid) i powiązane pliki cookie (_fbc, _fbp) — wyłącznie po wyrażeniu zgody (kategoria „Marketingowe”),
• niezbędne pliki cookie opisane w Polityce cookies.

3.2. Uczeń

• dane konta: imię i nazwisko, adres e-mail, hasło (przechowywane w formie zabezpieczonej), opcjonalnie numer telefonu,
• dane z logowania przez Google lub Facebook, jeśli z niego korzystasz (imię, adres e-mail, zdjęcie profilowe),
• dane o lekcjach: rezerwacje, terminy, status obecności, historia zajęć,
• prace domowe: treści zadań, Twoje odpowiedzi i rozwiązania (w tym rozwiązania zadań matematycznych krok po kroku), wyniki i informacje zwrotne,
• pliki i materiały, które przesyłasz lub otrzymujesz w ramach zajęć,
• treści czatu z korepetytorem oraz komentarze,
• obraz i dźwięk z kamery i mikrofonu podczas lekcji online — przesyłane na żywo przez nasz serwer wideokonferencji, nie nagrywamy ich i nie zapisujemy; podobnie treść wspólnej tablicy i wspólnego dokumentu jest przesyłana między uczestnikami lekcji i nie jest przez nas zapisywana,
• dane płatności przetwarzane za pośrednictwem Stripe (np. dane karty lub inne metody płatności — pełne dane karty są obsługiwane przez Stripe, nie przechowujemy ich samodzielnie),
• identyfikator powiadomień push — jeśli wyrazisz zgodę na powiadomienia w przeglądarce.

3.3. Korepetytor

• dane konta: imię i nazwisko, adres e-mail, hasło (w formie zabezpieczonej), opcjonalnie numer telefonu,
• dane z logowania przez Google lub Facebook, jeśli z niego korzystasz,
• publiczny profil: imię i nazwisko, zdjęcie (avatar), opis (bio), przedmioty/umiejętności, stawka, lokalizacje lekcji stacjonarnych, wykształcenie i doświadczenie, oceny i komentarze uczniów. Profil korepetytora jest publiczny i może być indeksowany przez wyszukiwarki internetowe (publikujemy go m.in. w mapie strony i w podglądach udostępniania),
• dane o prowadzonych lekcjach, w tym o obecności uczniów,
• obraz i dźwięk podczas lekcji online oraz treść wspólnej tablicy i dokumentu — na zasadach opisanych w punkcie 3.2 (bez nagrywania i zapisywania),
• pliki i materiały, które udostępniasz uczniom,
• treści czatu z uczniami,
• dane do rozliczeń i wypłat: dane konta Stripe, dane weryfikacyjne (tożsamość) — weryfikację tożsamości (KYC) przeprowadza Stripe w ramach Stripe Connect,
• dane niezbędne do rozliczeń podatkowych i księgowych.

3.4. Administrator

• dane konta administratora oraz logi czynności wykonywanych w panelu administracyjnym w zakresie niezbędnym do zarządzania platformą, obsługi zgłoszeń i zapewnienia bezpieczeństwa.

4. Cele i podstawy prawne przetwarzania

Przetwarzamy dane osobowe wyłącznie wtedy, gdy mamy do tego podstawę prawną przewidzianą w art. 6 ust. 1 RODO.

Zdarzenia biznesowe (np. fakt rejestracji konta) wysyłamy do PostHog także po stronie serwera, niezależnie od ustawień cookies. Służy to utrzymaniu i rozwojowi platformy oraz pomiarowi jej działania i opieramy je na prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO). Dane te nie są wykorzystywane do profilowania reklamowego.

Zgoda jest zawsze dobrowolna. Możesz ją cofnąć w każdej chwili w tak samo prosty sposób, w jaki została wyrażona — w przypadku cookies robisz to przyciskiem „Ustawienia cookies” w stopce strony. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

5. Komu powierzamy lub przekazujemy dane (odbiorcy)

Korzystamy z usług zewnętrznych dostawców (podmiotów przetwarzających). Poniżej zestawiamy najważniejsze z nich.

Nie sprzedajemy danych osobowych. Dane udostępniamy wyłącznie w zakresie niezbędnym do realizacji wskazanych celów. Z dostawcami przetwarzającymi dane w naszym imieniu zawieramy umowy powierzenia przetwarzania danych (art. 28 RODO). Część odbiorców — Stripe (w zakresie weryfikacji tożsamości i przeciwdziałania praniu pieniędzy), Google i Facebook (logowanie) oraz OpenFreeMap — przetwarza dane również jako odrębni administratorzy, na zasadach opisanych w ich politykach prywatności.

6. Przekazywanie danych poza EOG

Część dostawców przetwarza dane poza Europejskim Obszarem Gospodarczym (EOG), w szczególności:

• Google (logowanie OAuth, Firebase Cloud Messaging) i Facebook (logowanie OAuth) — USA,
• Stripe — globalnie, w tym USA,
• Cloudflare (ruch sieciowy, przechowywanie plików w R2) — sieć globalna, w tym USA,
• LocationIQ — autouzupełnianie adresów.

W każdym takim przypadku stosujemy zabezpieczenia wymagane przez RODO — decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework dla podmiotów nim objętych) albo standardowe klauzule umowne — a zakres przekazywanych danych ograniczamy do minimum.

Ocena prac domowych przez DeepSeek (Chiny). Do modelu trafiają wyłącznie treści zadań i odpowiedzi: treść pytania, odpowiedź wzorcowa, wskazówki korepetytora i odpowiedź ucznia. Nie przekazujemy żadnych danych identyfikujących ucznia (imienia, nazwiska, adresu e-mail, identyfikatora konta ani adresu IP — zapytanie wysyła nasz serwer), więc DeepSeek nie może powiązać tych treści z konkretną osobą. Prosimy, aby w treści zadań i odpowiedzi nie wpisywać danych osobowych.

7. Jak długo przechowujemy dane

Przechowujemy dane nie dłużej, niż jest to niezbędne do celów, dla których zostały zebrane, a po ich osiągnięciu usuwamy je lub anonimizujemy.

Dane finansowe muszą przetrwać usunięcie konta w zakresie wymaganym przepisami — po usunięciu konta są w takim przypadku anonimizowane w możliwym zakresie.

8. Twoje prawa

Przysługują Ci następujące prawa wynikające z RODO:

• Prawo dostępu do danych — możesz uzyskać potwierdzenie, czy przetwarzamy Twoje dane, oraz kopię tych danych.
• Prawo do sprostowania — możesz żądać poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych.
• Prawo do usunięcia danych („prawo do bycia zapomnianym") — możesz żądać usunięcia danych, gdy np. nie są już niezbędne do celów, w których zostały zebrane, lub cofnąłeś zgodę.
• Prawo do ograniczenia przetwarzania — możesz żądać ograniczenia przetwarzania w określonych sytuacjach.
• Prawo do przenoszenia danych — możesz otrzymać swoje dane w ustrukturyzowanym, powszechnie używanym formacie i przesłać je innemu administratorowi.
• Prawo do sprzeciwu — możesz sprzeciwić się przetwarzaniu opartemu na prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO). W przypadku publicznego profilu korepetytora sprzeciw może skutkować np. ograniczeniem jego publicznego charakteru w uzasadnionym zakresie.
• Prawo do cofnięcia zgody — w każdej chwili możesz cofnąć zgodę na przetwarzanie oparte na zgodzie; nie wpływa to na zgodność z prawem wcześniejszego przetwarzania.
• Prawo do wniesienia skargi — jeśli uważasz, że przetwarzanie narusza RODO, możesz wnieść skargę do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (PUODO, ul. Stawki 2, 00-193 Warszawa).

Aby skorzystać z któregokolwiek z tych praw, skontaktuj się z nami pod adresem e-mail wskazanym w sekcji 1. Odpowiemy bez zbędnej zwłoki, a najpóźniej w terminie przewidzianym przepisami.

9. Zautomatyzowane podejmowanie decyzji i profilowanie

Automatyczna ocena prac domowych (AI). Część prac domowych (odpowiedzi otwarte i rozwiązania matematyczne krok po kroku) może być oceniana automatycznie z pomocą modelu AI (DeepSeek). Ocena ta ma charakter pomocniczy: model porównuje odpowiedź ucznia z odpowiedzią wzorcową i proponuje ocenę oraz krótki komentarz. Korepetytor może tę ocenę zweryfikować i skorygować. Automatyczna ocena prac domowych nie jest decyzją wywołującą skutki prawne ani w podobny sposób istotnie wpływającą na Ciebie w rozumieniu art. 22 RODO — nie decyduje o dostępie do usług ani o żadnych uprawnieniach.

Analityka. W ramach analityki (PostHog) możemy grupować użytkowników według sposobu korzystania z serwisu, aby rozumieć i ulepszać platformę. Nie podejmujemy na tej podstawie zautomatyzowanych decyzji o skutkach prawnych wobec Ciebie.

Nie podejmujemy wobec użytkowników innych decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec Ciebie skutki prawne lub podobnie istotnie na Ciebie wpływały.

10. Bezpieczeństwo danych

Stosujemy techniczne i organizacyjne środki ochrony danych, adekwatne do ryzyka, w tym:

• szyfrowanie transmisji (HTTPS/TLS) i ochronę ruchu przez Cloudflare,
• przechowywanie haseł w formie zabezpieczonej (niejawnej),
• opcjonalną weryfikację dwuetapową (2FA) konta,
• kontrolę dostępu opartą na rolach (uczeń, korepetytor, administrator),
• ograniczanie liczby prób logowania i innych operacji (rate limiting),
• przechowywanie danych na serwerach w Polsce (z zastrzeżeniem usług opisanych w sekcjach 5 i 6),
• umowy powierzenia przetwarzania z dostawcami.

Żaden system nie jest w pełni wolny od ryzyka, dlatego stale monitorujemy i doskonalimy nasze zabezpieczenia.

11. Dzieci i osoby niepełnoletnie

Z platformy korzystają również uczniowie, którzy mogą być niepełnoletni. Zgodnie z art. 8 RODO, w przypadku usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku, przetwarzanie danych dziecka jest zgodne z prawem, gdy dziecko ukończyło 16 lat; poniżej tego wieku wymagana jest zgoda lub zgoda wyrażona przez rodzica albo opiekuna prawnego.

[DO UZUPEŁNIENIA: przyjęta granica wieku i mechanizm uzyskiwania zgody rodzica lub opiekuna prawnego dla osób poniżej 16 lat]

Rodzicom i opiekunom prawnym przysługują prawa opisane w sekcji 8 w odniesieniu do danych ich dzieci. Jeśli masz podstawy sądzić, że dziecko korzysta z platformy bez wymaganej zgody, skontaktuj się z nami.

12. Pliki cookie i podobne technologie

Szczegółowe informacje o plikach cookie, ich rodzajach i celach znajdziesz w Polityce cookies.

W skrócie:

• niezbędne pliki cookie (np. sesja logowania, obsługa płatności) są wymagane do działania platformy;
• analityczne i marketingowe pliki cookie są zapisywane wyłącznie po Twojej zgodzie;
• zgodę możesz zmienić w każdej chwili przyciskiem „Ustawienia cookies” w stopce strony.

13. Zmiany polityki

Możemy aktualizować niniejszą Politykę prywatności, na przykład w związku ze zmianą przepisów, funkcji platformy lub dostawców usług. O istotnych zmianach poinformujemy w widoczny sposób (np. na platformie lub pocztą e-mail). Zachęcamy do okresowego zapoznawania się z tą stroną.

Regulamin platformy znajdziesz pod adresem: Regulamin.

Ostatnia aktualizacja: [DO UZUPEŁNIENIA: data]