Administrator danych
Administratorem danych jest usługodawca serwisu szybkiekorepetycje, kontakt: [email protected]. Zasady korzystania z serwisu opisuje regulamin.
Jakie dane przechowujemy i jak je chronimy
- Dane konta: imię (lub pseudonim) i adres e-mail, przechowywane w bazie w postaci zaszyfrowanej (AES-256-GCM); hasło wyłącznie jako skrót bcrypt (nie znamy i nie możemy odczytać Twojego hasła); daty założenia konta, ostatniego logowania i potwierdzenia adresu. Konto założone przez Google nie ma hasła, dopóki sam go nie ustawisz.
- Postępy i ustawienia nauki: próby rozwiązań zadań (co, kiedy i czy poprawnie), z których liczymy punkty, poziomy, serie i odznaki; zakładki i własne notatki do lekcji; ostatnio używana matura oraz cel maturalny (przedmiot, planowana data egzaminu, tygodniowy cel zadań).
- Weryfikacja dwuetapowa (jeśli ją włączysz): sekret TOTP przechowywany w postaci zaszyfrowanej.
- Jednorazowe linki e-mail (reset hasła, potwierdzenie adresu): w bazie leży wyłącznie skrót SHA-256 tokenu z terminem ważności, nigdy sam link.
- Logi bezpieczeństwa: nieudane próby logowania zapisujemy z adresem IP i zamaskowanym adresem e-mail (np. j***@g***.com), wyłącznie do wykrywania ataków; przechowujemy je do 30 dni.
Nie zbieramy nic ponad to: żadnych danych o lokalizacji, urządzeniu ani aktywności poza platformą. Połączenie z serwisem jest szyfrowane (HTTPS).
Po co i na jakiej podstawie
Dane są niezbędne do świadczenia usługi: konto pozwala zapisywać postępy, a e-mail jest identyfikatorem logowania (podstawa: wykonanie umowy, art. 6 ust. 1 lit. b RODO). Nie wykorzystujemy danych do reklam i nie profilujemy. Danych nie przekazujemy nikomu poza dwoma podmiotami przetwarzającymi, bez których usługa nie działa: dostawcą hostingu i dostawcą poczty transakcyjnej (opisani niżej); obaj działają wyłącznie na nasze polecenie (art. 28 RODO).
Gdzie dane są przetwarzane
Wszystko dzieje się na serwerze platformy utrzymywanym u dostawcy hostingu na terenie Europejskiego Obszaru Gospodarczego (podmiot przetwarzający w rozumieniu art. 28 RODO). Wiadomości dotyczące konta (potwierdzenie adresu, reset hasła, powiadomienia o zmianach bezpieczeństwa) wysyłamy przez dostawcę poczty transakcyjnej (Brevo), który także przetwarza dane w EOG i otrzymuje wyłącznie adres, imię i treść wiadomości; newsletterów ani wiadomości marketingowych nie wysyłamy. Środowiska do wykonywania kodu (Python, SQL) działają w Twojej przeglądarce i są serwowane z naszego hosta, więc strona nie ładuje niczego z zewnętrznych usług ani CDN.
Logowanie przez Google
Zamiast hasła możesz zalogować się lub założyć konto swoim kontem Google. Otrzymujemy wtedy od Google wyłącznie adres e-mail, imię i potwierdzenie, że adres należy do Ciebie; nie zapisujemy identyfikatora konta Google ani zdjęcia profilowego, a konto w serwisie wiążemy po adresie e-mail. Nie mamy dostępu do Twojej skrzynki, kontaktów ani innych danych konta Google. Google (Google Ireland Ltd.) dowiaduje się, że logujesz się do naszego serwisu, i przetwarza to zdarzenie jako niezależny administrator według własnej polityki prywatności. Jeśli nie chcesz, żeby Google wiedziało o Twoim koncie, załóż je zwyczajnie, z hasłem.
Płatności (Stripe)
Płatności za Premium obsługuje Stripe Payments Europe Ltd. (Irlandia). Przy zakupie przekazujemy Stripe adres e-mail i imię z konta (do paragonu i powiązania płatności z kontem) oraz identyfikator konta; dane karty albo rachunku wpisujesz bezpośrednio na stronie Stripe i do nas nie trafiają. Stripe jest dla danych płatności odrębnym administratorem i może przekazywać je poza EOG na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (Data Privacy Framework). Otrzymujemy od Stripe informację o zapłacie, kwocie i metodzie. Zapis każdej płatności (data, kwota, produkt) trzymamy jako ewidencję sprzedaży przez czas wymagany przepisami podatkowymi (pięć lat od końca roku), także po usunięciu konta, w postaci niepowiązanej z adresem e-mail.
Wiek użytkowników
Z serwisu można korzystać samodzielnie od 16. roku życia (art. 8 RODO w zw. z ustawą o ochronie danych osobowych). Osoby młodsze mogą założyć konto za zgodą rodzica lub opiekuna prawnego.
Ciasteczka i pamięć przeglądarki
- Ciasteczko sesyjne (httpOnly) utrzymujące zalogowanie, ważne do 7 dni.
- Na czas logowania przez Google (kilka minut) dwa techniczne ciasteczka chroniące przed podmianą odpowiedzi Google; znikają po zakończeniu logowania.
- Ciasteczko aktywnaMatura zapamiętujące wybraną maturę (ważne rok, ustawiane po przełączeniu matury na zalogowanym koncie); przyspiesza nawigację i nie identyfikuje osoby.
- LocalStorage przechowuje wyłącznie ustawienia wygody na Twoim urządzeniu: stan stopera arkusza. Te dane nie opuszczają przeglądarki.
Nie używamy ciasteczek śledzących ani analitycznych.
Statystyki odwiedzin
Liczymy odsłony stron, żeby wiedzieć, które materiały są potrzebne. Robimy to własnymi środkami, na naszym serwerze: żadne dane nie trafiają do zewnętrznej firmy analitycznej i nie zakładamy w tym celu ciasteczek.
Z każdej odsłony zapisujemy wyłącznie cztery rzeczy:
- adres strony w serwisie (bez parametrów zapytania),
- nazwę witryny, z której nastąpiło przejście (sam adres domeny, np. google.com),
- oznaczenie kampanii, jeśli link je zawierał,
- rodzaj urządzenia: telefon, tablet albo komputer.
Nie zapisujemy adresu IP ani żadnego identyfikatora odwiedzającego, także w postaci skrótu. Oznacza to, że dwóch odsłon tej samej osoby nie da się ze sobą powiązać, a statystyk nie da się połączyć z kontem. Dlatego nie podajemy „liczby unikalnych użytkowników” — po prostu jej nie znamy.
Jak długo i jak usunąć
Dane przechowujemy, dopóki istnieje konto. W panelu konta możesz w każdej chwili zmienić hasło albo trwale usunąć konto; usunięcie jest natychmiastowe i kasuje wszystkie dane razem z postępami, bez kopii.
Twoje prawa i kontakt
Masz prawo dostępu do danych, ich sprostowania, usunięcia i przenoszenia oraz wniesienia skargi do Prezesa UODO. Kopię wszystkich swoich danych pobierzesz jednym kliknięciem w panelu konta (plik JSON). W sprawach danych osobowych napisz na adres: [email protected].
Naruszenia ochrony danych
Gdyby mimo zabezpieczeń doszło do naruszenia ochrony danych, ocenimy je niezwłocznie, w razie ryzyka dla Twoich praw zgłosimy je Prezesowi UODO w ciągu 72 godzin, a przy wysokim ryzyku zawiadomimy Cię bezpośrednio wraz z zaleceniami (art. 33-34 RODO). Zaszyfrowanie danych w bazie ogranicza skutki ewentualnego wycieku samego pliku bazy.