Polityka prywatności

Administrator danych

Administratorem danych osobowych jest LaStoria Studio Magdalena Bajer, adres: ul. Jackowskiego 47C/13, 60-513 Poznań, dane rejestrowe: NIP 5833100308, REGON 368464071.

Kontakt w sprawach prywatności: [email protected], tel. 665213046. Informacja o Inspektorze Ochrony Danych: nie powołano IOD.

Jakie dane przetwarzamy

Dane konta: adres e-mail, imię, nazwa użytkownika, zdjęcie profilu, rola, status weryfikacji e-mail.
Dane logowania: hasło w postaci nieodwracalnego skrótu (hash), identyfikatory kont OAuth, tokeny techniczne dostawców logowania, sesje, tokeny resetu hasła i weryfikacji adresu e-mail.
Dane subskrypcji i płatności: identyfikatory Stripe, plan, status, okres rozliczeniowy, daty okresu próbnego i pierwszej płatności, historia zdarzeń płatniczych.
Dane rozliczeniowe: nazwa firmy, NIP, adres, miasto, kod pocztowy, kraj - jeśli użytkownik je poda.
Preferencje edukacyjne: wybrane zakresy wieku dziecka i ustawienia platformy.
Aktywność w platformie: ulubione materiały, ukończone materiały, postęp odtwarzania, ostatnio oglądane treści.
Dane techniczne i bezpieczeństwa: adres IP w ograniczeniach częstotliwości, logi błędów, znaczniki czasu.
Dane o zgodach: wybory dotyczące cookies i podobnych technologii oraz zgoda na powiadomienia o produkcie wraz z datą jej udzielenia - przechowujemy je, aby wykazać, na co użytkownik się zgodził.
Pliki i materiały: metadane plików, nazwy plików, typy MIME, rozmiary, treści dodane przez administratorów lub uprawnionych użytkowników.
Dane analityczne: wewnętrzny identyfikator konta oraz stan konta w narzędziu analitycznym - rola, status subskrypcji, dostęp do modułu szkolnego i sposób rejestracji. Dostawca analityki dopisuje do profilu przybliżoną lokalizację ustaloną na podstawie adresu IP (kraj, region, miasto) oraz informacje o urządzeniu i przeglądarce (system operacyjny, przeglądarka, typ urządzenia, user agent). Bez imienia, adresu e-mail i danych dziecka. Te same dane trafiają do narzędzia analitycznego zarówno ze zdarzeń mierzonych w przeglądarce, jak i ze zdarzeń wysyłanych z naszego serwera - podstawy prawne obu przypadków opisujemy osobno.
Dane uczniów szkoły stacjonarnej: imię i nazwisko dziecka, przypisanie do grupy (kursu) i roku szkolnego, postęp w materiałach kursu oraz imię i adres e-mail opiekuna przekazane przez szkołę.

Cele i podstawy przetwarzania

Założenie i prowadzenie konta, logowanie oraz udostępnienie platformy - wykonanie umowy lub działania przed jej zawarciem.
Obsługa subskrypcji, płatności, faktur i reklamacji - wykonanie umowy oraz obowiązki prawne.
Dopasowanie materiałów do preferencji edukacyjnych - wykonanie umowy.
Udostępnienie materiałów kursu uczniom szkoły stacjonarnej i prowadzenie konta opiekuna - wykonanie umowy zawartej ze szkołą, na zlecenie której udostępniamy materiały.
Bezpieczeństwo, zapobieganie nadużyciom i diagnostyka błędów - prawnie uzasadniony interes administratora.
Analityka produktu w przeglądarce oraz marketing - wyłącznie na podstawie zgody. Bez zgody nie uruchamiamy narzędzia analitycznego i nie zapisujemy niczego na urządzeniu. Na tej samej zgodzie opieramy zdarzenia dotyczące korzystania z materiałów (np. pobranie pliku), które wysyłamy z serwera, ale tylko wtedy, gdy zgoda została udzielona.
Zdarzenia wysyłane z naszego serwera niezależnie od zgody (rejestracja, logowanie, potwierdzenie adresu e-mail, zakończenie płatności, utworzenie i wykorzystanie zaproszenia) - nie korzystają z pamięci urządzenia, dlatego nie obejmuje ich zgoda na cookies. Podstawa prawna: [UZUPEŁNIĆ: do ustalenia z prawnikiem].

Dane dotyczące dzieci

EduKiddo jest usługą dla rodziców i opiekunów, którzy wybierają materiały edukacyjne dla dzieci. W systemie mogą pojawić się preferencje edukacyjne, takie jak zakres wieku dziecka, ale nie należy wpisywać danych, które nie są potrzebne do korzystania z platformy.

W module dla szkół stacjonarnych przetwarzamy dodatkowo dane ucznia przekazane przez szkołę: imię i nazwisko dziecka, przypisanie do grupy (kursu) oraz postęp w materiałach kursu. Dane te są widoczne wyłącznie dla opiekuna wskazanego przez szkołę i dla administratorów platformy.

Odbiorcy i dostawcy

Korzystamy z dostawców technicznych wyłącznie w zakresie potrzebnym do działania usługi, rozliczeń, bezpieczeństwa i komunikacji.

Stripe - obsługa płatności, subskrypcji, faktur i portalu klienta.
PostHog - analityka produktu; dane wysyłamy na adres w Unii Europejskiej (eu.i.posthog.com).
Resend - wysyłka wiadomości transakcyjnych i powiadomień o produkcie.
Cloudflare R2 - przechowywanie plików materiałów. Poza samą treścią pliku trafia tam jego nazwa (jest częścią adresu obiektu w magazynie) oraz typ pliku (MIME).
Google - logowanie kontem Google, jeśli użytkownik wybierze ten sposób rejestracji lub logowania.
Sentry - monitorowanie błędów, jeśli włączone produkcyjnie.
DataPort - sprawdzenie danych firmy w rejestrach publicznych (GUS) na podstawie numeru NIP podanego do faktury.
Dostawca hostingu aplikacji i bazy danych PostgreSQL: [UZUPEŁNIĆ]
Dla każdego z powyższych dostawców: [UZUPEŁNIĆ: umowa powierzenia przetwarzania, miejsce przechowywania danych i ewentualny transfer poza EOG].

Okres przechowywania

Dane konta i dane niezbędne do świadczenia usługi - przez czas posiadania konta i korzystania z platformy.
Dane związane z umową i subskrypcją - do końca okresu przedawnienia potencjalnych wzajemnych roszczeń wynikających z umowy.
Dane przetwarzane na podstawie zgody, w tym dane podane dobrowolnie oraz dane wykorzystywane do celów marketingowych - do momentu wycofania zgody lub zakończenia korzystania z usługi.
Dane wymagane przepisami podatkowymi i rachunkowymi - przez okres, w którym przepisy nakazują przechowywanie dokumentacji.
Dane techniczne i logi bezpieczeństwa - przez okres niezbędny do zapewnienia bezpieczeństwa i prawidłowego działania usługi.
Dane uczniów szkoły stacjonarnej - przez czas udziału w kursie, a po zakończeniu udziału (archiwizacji ucznia) przez 2 lata; po tym okresie imię i nazwisko dziecka oraz jego postęp są usuwane automatycznie.

Prawa użytkownika

Masz prawo dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania oraz wycofania zgody w dowolnym momencie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Żądanie możesz wysłać na adres: [email protected]. Masz też prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Profilowanie i decyzje automatyczne

Nie podejmujemy decyzji wywołujących skutki prawne wyłącznie w sposób zautomatyzowany. Jeżeli w przyszłości pojawi się profilowanie marketingowe lub rekomendacyjne wykraczające poza zwykłe działanie platformy, ta informacja zostanie zaktualizowana.