Polityka prywatności CWO

§ 1. Administrator danych

Administratorem danych osobowych przetwarzanych w związku z korzystaniem z Centrum Wiedzy Olimpijskiej jest:

Akademia Olimpijska sp. z o.o w organizacji, z adresem: Lublin, ul. Forsycjowa 9, 20-225, adres e-mail: [email protected].

2. W sprawach dotyczących danych osobowych można kontaktować się z Administratorem pod adresem: [email protected].
3. Administrator nie wyznaczył Inspektora Ochrony Danych.
4. Polityka dotyczy publicznej części Centrum Wiedzy Olimpijskiej, czytnika materiałów, quizów oraz dobrowolnego konta użytkownika. Wewnętrzne narzędzia administracyjne Administratora nie są publiczną usługą i nie są objęte Regulaminem Centrum Wiedzy Olimpijskiej (dalej: CWO).

§ 2. Zakres i źródła danych

W związku z korzystaniem z CWO Administrator może przetwarzać:

1. adres e-mail, nazwę wyświetlaną i dane konta;
2. dane uwierzytelniające i informacje o potwierdzeniu adresu e-mail;
3. wersje zaakceptowanego Regulaminu oraz potwierdzonej Polityki prywatności, a także daty tych czynności;
4. informacje o czytanych materiałach, identyfikator materiału i wersji, numer bieżącej i najdalszej przeczytanej strony, procent ukończenia oraz daty rozpoczęcia i aktualizacji postępu;
5. informacje o quizach: identyfikator quizu, identyfikatory pytań, udzielone odpowiedzi, liczbę punktów, wynik procentowy, status i daty rozpoczęcia oraz zakończenia próby;
6. informacje o logowaniu, wylogowaniu, potwierdzeniu adresu e-mail, żądaniu resetu hasła i żądaniu usunięcia konta;
7. identyfikatory techniczne przeglądarki zapisane w pamięci lokalnej, w tym identyfikator odwiedzającego, identyfikator sesji i identyfikator przypisania wyświetlenia bramy dostępu do materiału;
8. dane techniczne żądania HTTP, takie jak adres IP, User-Agent, adres żądanego zasobu, adres odsyłający, czas żądania, status odpowiedzi i identyfikator żądania, w zakresie, w jakim są zapisywane w logach dostawców infrastruktury;
9. dane techniczne związane z działaniem zabezpieczeń, ograniczaniem nadużyć i ochroną API.

2. Hasło jest przekazywane do usługi uwierzytelniania w celu utworzenia konta. Aplikacja CWO nie przechowuje hasła użytkownika w swojej bazie danych w postaci jawnej.
3. Dane są pozyskiwane bezpośrednio od użytkownika, automatycznie podczas korzystania z CWO albo z jego przeglądarki.
4. CWO nie zbiera celowo danych o płci, wieku, zainteresowaniach, dokładnej lokalizacji, rozdzielczości ekranu, dostawcy Internetu ani danych szczególnych kategorii.

§ 3. Cele i podstawy prawne

Dane są przetwarzane w celu:

1. świadczenia usług CWO, udostępniania materiałów, obsługi czytnika i quizów — art. 6 ust. 1 lit. b RODO;
2. utworzenia i prowadzenia konta, potwierdzenia adresu e-mail, logowania, resetu hasła, zapisywania postępów oraz udostępniania historii quizów — art. 6 ust. 1 lit. b RODO;
3. wysyłania wiadomości technicznych i transakcyjnych, w szczególności wiadomości potwierdzającej konto, resetującej hasło oraz potwierdzającej aktywację konta — art. 6 ust. 1 lit. b RODO;
4. zapewnienia bezpieczeństwa, przeciwdziałania nadużyciom, ochrony API, ograniczania liczby żądań, wykrywania prób obejścia ograniczeń i dochodzenia roszczeń — art. 6 ust. 1 lit. f RODO;
5. rejestrowania ograniczonych zdarzeń działania usługi, takich jak otwarcie materiału, wyświetlenie strony materiału, rozpoczęcie i ukończenie quizu, logowanie oraz rejestracja, w celu zapewnienia działania usługi, rozliczalności i jej ulepszania — art. 6 ust. 1 lit. b albo f RODO, zależnie od zdarzenia;
6. tworzenia statystyk korzystania z materiałów i quizów. Zdarzenia są przechowywane w postaci surowej przez ograniczony czas, a następnie zamieniane na zestawienia dzienne i pseudonimizowane identyfikatory — art. 6 ust. 1 lit. f RODO;
7. prowadzenia opcjonalnej analityki przeglądarkowej z użyciem identyfikatora odwiedzającego, identyfikatora sesji i identyfikatora przypisania — wyłącznie po wyrażeniu zgody użytkownika, na podstawie art. 6 ust. 1 lit. a RODO oraz art. 399–400 Prawa komunikacji elektronicznej;
8. pomiaru skuteczności reklam Google Ads po wyrażeniu odrębnej zgody. CWO używa tagu Google Ads o identyfikatorze AW-16703242210 do pomiaru rejestracji konta. CWO nie używa remarketingu ani personalizacji reklam — na podstawie art. 6 ust. 1 lit. a RODO oraz art. 399–400 Prawa komunikacji elektronicznej;
9. wysyłania informacji o nowych materiałach lub kursach — wyłącznie po odrębnej, dobrowolnej zgodzie marketingowej. Zgoda nie jest warunkiem utworzenia ani używania konta. Zgodę można wycofać w każdym czasie.

§ 4. Odbiorcy danych i procesorzy

Dane mogą być przekazywane następującym odbiorcom i podmiotom przetwarzającym:

1. Supabase — usługa uwierzytelniania oraz baza danych PostgreSQL; dokładna jednostka kontraktowa jest wskazana w obowiązującej umowie powierzenia danych.
2. Fly.io, Inc. — hosting publicznego API CWO i prywatnego workera technicznego;
3. Cloudflare, Inc. — prywatne przechowywanie stron materiałów w Cloudflare R2 oraz obsługa podpisanych adresów URL;
4. SEOHOST Sp. z o.o. — hosting publicznej strony oraz obsługa SMTP, jeżeli produkcyjna konfiguracja poczty korzysta z infrastruktury SEOHOST;
5. upoważnione osoby Administratora, które potrzebują dostępu do danych w celu obsługi, bezpieczeństwa, rozpatrywania żądań użytkowników lub utrzymania usługi.

W zakresie pomiaru reklam po wyrażeniu zgody dane techniczne mogą być przekazywane Google Ireland Limited albo właściwej jednostce Google wskazanej w warunkach usługi Google Ads. Google jest odrębnym dostawcą usługi zewnętrznej, a jego status prawny wobec poszczególnych danych wynika z warunków konkretnej usługi Google.

W quizach skrypt MathJax może być pobierany z CDN jsDelivr. Jeżeli użytkownik kliknie link do filmu, przechodzi do serwisu YouTube, który przetwarza dane zgodnie z własną polityką prywatności.

Wymienieni procesorzy mogą korzystać z dalszych podprocesorów. Administrator zawiera z procesorami umowy wymagane przez art. 28 RODO i monitoruje aktualne listy podprocesorów publikowane przez Supabase, Fly.io i Cloudflare. Zmiana podprocesora może nastąpić zgodnie z mechanizmem powiadomienia i sprzeciwu określonym w odpowiedniej umowie powierzenia.

§ 5. Przekazywanie danych poza EOG

Dostawcy infrastruktury lub ich podprocesorzy mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym, w szczególności w związku z obsługą, bezpieczeństwem, wsparciem technicznym, logami lub infrastrukturą chmurową.

Każde takie przekazanie odbywa się na podstawie mechanizmu przewidzianego w rozdziale V RODO, w szczególności decyzji stwierdzającej odpowiedni stopień ochrony, standardowych klauzul umownych albo innego prawnie dopuszczalnego zabezpieczenia właściwego dla danego transferu.

§ 6. Okres przechowywania

1. Dane konta, postępów i historii quizów są przechowywane przez okres istnienia konta, a następnie usuwane albo anonimizowane po realizacji żądania usunięcia, z wyjątkiem danych niezbędnych do obrony lub dochodzenia roszczeń oraz danych, które Administrator musi zachować na podstawie prawa.
2. Surowe zdarzenia aktywności są przechowywane przez 90 dni. Dzienne zestawienia oraz pseudonimizowane zestawienia tożsamości są przechowywane przez 730 dni.
3. Próby quizów pozostawione jako „w toku” wygasają po 24 godzinach. Ukończone anonimowe próby powinny być usuwane po 30 dniach — po wdrożeniu mechanizmu usuwania. Ukończone próby przypisane do konta są przechowywane do usunięcia konta.
4. Ciasteczka sesyjne i uwierzytelniające są przechowywane do wygaśnięcia sesji. Domyślny czas życia tokenu dostępu wynosi 1 godzinę, a tokenu odświeżającego i tokenu CSRF 30 dni, o ile konfiguracja produkcyjna nie stanowi inaczej.
5. Dane zapisane w localStorage, w tym lokalny postęp materiału i robocze odpowiedzi quizu, pozostają na urządzeniu użytkownika do czasu ich usunięcia przez użytkownika, wyczyszczenia pamięci przeglądarki albo usunięcia przez aplikację.
6. Identyfikator przypisania wyświetlenia bramy materiału jest używany maksymalnie przez 30 dni.
7. Wiadomości w kolejce e-mail oraz ich metadane są usuwane po 30 dniach od wysłania albo zakończenia próby dostarczenia, po wdrożeniu mechanizmu retencji, albo wcześniej wraz z usunięciem konta.

§ 7. Prawa użytkownika

Użytkownik ma prawo żądać dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.

Jeżeli przetwarzanie odbywa się na podstawie zgody, użytkownik może wycofać zgodę w dowolnym momencie. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.

Użytkownik może pobrać dane konta albo złożyć żądanie ich udostępnienia w ustrukturyzowanym formacie. Użytkownik może również złożyć żądanie usunięcia konta poprzez funkcję „Zgłoś usunięcie konta” albo na adres [email protected].

Użytkownik ma prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych.

§ 8. Pliki cookie i podobne technologie

CWO korzysta z plików cookie oraz pamięci lokalnej i sesyjnej urządzenia końcowego.

Technologie niezbędne obejmują:

1. ao_access_token — token bieżącej sesji;
2. ao_refresh_token — token odświeżenia sesji;
3. ao_csrf — token ochrony przed żądaniami CSRF;
4. ao:privacy-consent:v2 — zapis ustawień prywatności;
5. ao:material-progress:v1:* — lokalny postęp czytania materiału;
6. ao:anonymous-quiz-usage:v1, ao:quiz-answer-draft:v1:* i ao:active-quiz-attempt:v1:* — techniczne wznowienie i obsługa próby quizu.

Technologie opcjonalne, uruchamiane po zgodzie analitycznej, obejmują ao:analytics-visitor:v2, ao:analytics-session:v2 oraz ao:analytics-gate:v2. Służą do zliczania odwiedzin, sesji, otwarć materiałów i konwersji po przejściu przez bramę dostępu.

Google Ads może zapisywać własne identyfikatory lub pliki cookie wyłącznie po zgodzie na pomiar skuteczności reklam.

Użytkownik może zmienić ustawienia w panelu „Ustawienia prywatności”. Wycofanie zgody powoduje zatrzymanie opcjonalnego trackera i usunięcie zapisanych lokalnie identyfikatorów analitycznych.

§ 9. Profilowanie i decyzje automatyczne

Administrator nie podejmuje wobec użytkowników decyzji wywołujących skutki prawne lub podobnie istotne wyłącznie w sposób zautomatyzowany.

Administrator może tworzyć statystyki dotyczące korzystania z poszczególnych olimpiad, materiałów i quizów oraz oznaczać zainteresowanie określonymi materiałami na potrzeby obsługi i analityki. Informacje te nie służą do automatycznego przyznawania świadczeń, oceniania zdolności użytkownika ani personalizacji reklam.

§ 10. Użytkownicy małoletni

Publiczne materiały CWO mogą być przeglądane przez osoby małoletnie. Jeżeli w konkretnym przypadku przepisy wymagają zgody przedstawiciela ustawowego na przetwarzanie danych na podstawie zgody, zgoda ta musi zostać uzyskana lub potwierdzona przez przedstawiciela ustawowego.

Zgoda na analitykę, pomiar reklam i marketing jest odrębna od zawarcia umowy o konto.