Polityka prywatności serwisu lern.one

Niniejsza Polityka prywatności (dalej: „Polityka") określa zasady przetwarzania i ochrony danych osobowych Użytkowników serwisu lern.one (dalej: „Serwis"), dostępnego pod adresem https://lern.one.

Dane osobowe są przetwarzane zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (dalej: „RODO"), ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych oraz innymi właściwymi przepisami prawa polskiego i unijnego.

Pojęcia pisane wielką literą, niezdefiniowane w niniejszej Polityce, mają znaczenie nadane im w Regulaminie serwisu.

Administratorem danych osobowych (dalej: „Administrator" lub „ADO") jest:

Kontakt w sprawach dotyczących ochrony danych osobowych: kontakt@lern.one.

Administrator nie wyznaczył Inspektora Ochrony Danych (IOD) w rozumieniu art. 37 RODO, gdyż nie jest do tego zobowiązany na podstawie art. 37 ust. 1 RODO. Wszelkie zapytania należy kierować na powyższy adres e-mail.

3.1. Dane podawane przy rejestracji i w profilu

• adres e-mail (wymagany do utworzenia Konta),
• hasło (przechowywane wyłącznie w postaci kryptograficznego skrótu - bcrypt; Administrator nie ma dostępu do hasła w postaci jawnej),
• imię i nazwisko lub pseudonim (opcjonalnie),
• zdjęcie profilowe / awatar (opcjonalnie),
• biografia / opis profilu (opcjonalnie),
• wybrana rola w Serwisie (Korepetytor / Uczeń).

3.2. Dane gromadzone podczas korzystania z Serwisu

• historia aktywności edukacyjnej: sesje, rozwiązane zadania, wyniki,
• historia interakcji z modułem AI: treść zapytań, odpowiedzi, przesłane obrazy (szczegóły w §14),
• treści tworzone na Tablicy interaktywnej (rysunki, notatki, elementy graficzne),
• oceny i opinie wystawiane materiałom edukacyjnym oraz Korepetytorom,
• dane dotyczące Subskrypcji: wybrany plan taryfowy, status płatności, identyfikator klienta Stripe (bez numerów kart płatniczych),
• dziennik logowań: data, godzina, adres IP, identyfikator sesji.

3.3. Dane techniczne i diagnostyczne

• adres IP (w tym w wersji zanonimizowanej dla analityki),
• identyfikatory urządzenia i przeglądarki (user agent),
• system operacyjny, typ, wersja i język przeglądarki,
• strona odsyłająca (referer) i ścieżka nawigacji w Serwisie,
• pliki cookies i podobne technologie - szczegóły w Polityce cookies,
• metryki wydajności (TTFB, LCP, CLS).

3.4. Dane specyficzne dla Korepetytorów

• lista Uczniów: imiona, dane kontaktowe (telefon, e-mail), dane opiekunów prawnych,
• harmonogram sesji korepetycyjnych: daty, godziny, czas trwania,
• stawki godzinowe i ewidencja finansowa (przychody, faktury, płatności od Uczniów),
• utworzone plany nauczania, szablony lekcji, zadania domowe,
• dane wizytówki publicznej (opis, przedmioty, lokalizacja).

3.5. Dane z integracji

W przypadku połączenia konta zewnętrznego (Google Calendar, Stripe Connect) zbieramy wyłącznie zakres niezbędny do działania integracji: token dostępowy (szyfrowany), identyfikator konta, adres e-mail powiązany z usługą. Tokeny są szyfrowane w bazie (AES-256-GCM) i nigdy nie trafiają do bundla klienckiego.

3.6. Udostępnianie danych za pomocą linków

Korepetytor może wygenerować unikalny, niepubliczny link (np. dla rodzica/opiekuna Ucznia lub gościa rezerwującego termin) umożliwiający wgląd w wybrany zakres danych (harmonogram, postępy, historia lekcji, zawartość Tablicy) bez konieczności zakładania Konta w Serwisie. Dostęp do danych udostępnionych w ten sposób ma każda osoba dysponująca linkiem - Administrator nie ponosi odpowiedzialności za jego nieuprawnione udostępnienie osobom trzecim przez Korepetytora lub odbiorcę linku. Linki mogą mieć określony termin ważności i mogą zostać cofnięte przez Korepetytora w dowolnym momencie.

Podanie danych niezbędnych do założenia i prowadzenia Konta (adres e-mail, hasło lub logowanie kontem Google) oraz danych potrzebnych do wystawienia faktury jest dobrowolne, ale konieczne do zawarcia i wykonania umowy; bez nich nie można założyć Konta ani wystawić faktury. Podanie pozostałych danych (np. imienia, zdjęcia, opisu profilu) jest dobrowolne. Zgoda, jeśli jest wymagana, jest dobrowolna i można ją cofnąć w dowolnym momencie.

Administrator powierza przetwarzanie danych osobowych następującym podmiotom (procesorom i podprocesorom w rozumieniu art. 28 RODO), wyłącznie w zakresie niezbędnym do świadczenia Usług. Lista jest kompletna na dzień ostatniej aktualizacji Polityki:

Z każdym z powyższych podmiotów Administrator zawarł umowę powierzenia przetwarzania danych (Data Processing Agreement) zgodnie z art. 28 RODO. O zamiarze dodania lub zmiany podprocesora Administrator informuje Korepetytorów (jako administratorów danych Uczniów) e-mailem z co najmniej 14-dniowym wyprzedzeniem, z prawem sprzeciwu opisanym w §16. Dane mogą być również udostępniane:

• organom państwowym (Policja, Prokuratura, sądy, Prezes UODO) na podstawie obowiązujących przepisów,
• biuru rachunkowemu obsługującemu Administratora,
• kancelarii prawnej w przypadku dochodzenia roszczeń.
• Uczniom, ich opiekunom i gościom w zakresie, w jakim Korepetytor sam im je udostępni (portal ucznia, linki dla rodzica, rezerwacje).

Część procesorów Administratora ma siedzibę poza EOG (głównie w USA). W takich przypadkach transfer odbywa się na podstawie:

• Standardowych klauzul umownych (Standard Contractual Clauses) zatwierdzonych przez Komisję Europejską - art. 46 ust. 2 lit. c RODO.
• Decyzji Komisji Europejskiej o adekwatności poziomu ochrony danych dla USA (Data Privacy Framework) - w odniesieniu do podmiotów certyfikowanych w ramach DPF.
• Dodatkowych środków zabezpieczających takich jak szyfrowanie danych w tranzycie (TLS 1.2+) i w spoczynku (AES-256), anonimizacja, pseudonimizacja.

Użytkownik może uzyskać kopię stosowanych zabezpieczeń pisząc na adres kontakt@lern.one.

Poniższa mapa pokazuje, gdzie fizycznie znajdują się poszczególne kategorie danych. Dane osobowe Uczniów i Korepetytorów są przechowywane w Unii Europejskiej; poza EOG trafiają wyłącznie w przypadkach opisanych w §6 (w szczególności zapytania do Asystenta AI i logi błędów).

Ważne: dane usunięte z Serwisu mogą pozostawać w kopiach zapasowych do 30 dni od usunięcia. Kopie służą wyłącznie odtworzeniu Serwisu po awarii lub ataku i nie są używane do przywracania pojedynczych danych na życzenie Użytkownika ani do żadnego innego celu.

9.1. Eksport samodzielny

Bez kontaktu z Administratorem Użytkownik może pobrać: faktury (PDF), historię rozliczeń ucznia (CSV), tablice (PNG, PDF), pliki z modułu Pliki, treści prac domowych i wyniki. Korepetytor może też wyeksportować dane Uczniów w zakresie widocznym w profilu ucznia.

9.2. Eksport pełny i przenoszenie danych

Na żądanie wysłane z adresu e-mail przypisanego do Konta Administrator przygotowuje w terminie do 30 dni kompletny eksport danych Konta w formacie JSON (dane ustrukturyzowane) i CSV (tabele) wraz z plikami. Eksport obejmuje również dane Uczniów wprowadzone przez Korepetytora, tak aby mógł je przenieść do innego narzędzia (art. 20 RODO oraz art. 28 ust. 3 lit. g RODO).

9.3. Usuwanie pojedynczych danych

Korepetytor samodzielnie usuwa lub archiwizuje Uczniów, tablice, pliki, rozmowy z Asystentem AI, linki udostępniania, wpisy rozliczeń i wiadomości (własne, do 10 minut od wysłania). Usunięcie Ucznia usuwa powiązane z nim lekcje, postępy, prace domowe i rozliczenia, z wyjątkiem danych na wystawionych fakturach.

9.4. Usunięcie Konta

Wniosek o usunięcie Konta składa się w Ustawieniach (Korepetytor) lub e-mailem na kontakt@lern.one (Uczeń, opiekun, gość). Administrator weryfikuje tożsamość (żądanie musi pochodzić z adresu e-mail Konta) i realizuje wniosek ręcznie, w terminie do 30 dni. Weryfikacja ręczna chroni przed przypadkowym lub złośliwym usunięciem danych Uczniów przez osobę trzecią. Aktywne subskrypcje w Stripe są anulowane, a konto płatności Stripe Connect odłączane przed usunięciem.

• Usuwane bezpowrotnie: profil, uczniowie, harmonogram, postępy, tablice, pliki, wiadomości, rozmowy z AI, integracje, tokeny.
• Zachowywane tak długo, jak wymaga prawo: wystawione faktury i ewidencja transakcji (5 lat, art. 86 Ordynacji podatkowej), dane niezbędne do obrony przed roszczeniami (do przedawnienia).
• Zachowywany ślad realizacji: adres e-mail i data wykonania żądania (3 lata), jako dowód spełnienia obowiązku.
• Kopie zapasowe: dane znikają z nich automatycznie w ciągu 30 dni od usunięcia.

Uczeń posiadający własne Konto może być powiązany z kilkoma Korepetytorami. Usunięcie Konta Korepetytora usuwa wyłącznie dane Ucznia wprowadzone przez tego Korepetytora; Konto Ucznia i jego powiązania z innymi Korepetytorami pozostają.

Każdej osobie, której dane są przetwarzane, przysługują następujące prawa:

• Prawo dostępu do danych (art. 15 RODO) - uzyskania informacji o przetwarzanych danych i otrzymania ich kopii.
• Prawo do sprostowania (art. 16 RODO) - żądania poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych.
• Prawo do usunięcia („prawo do bycia zapomnianym") (art. 17 RODO) - z zastrzeżeniem obowiązków prawnych Administratora (np. dane do faktur).
• Prawo do ograniczenia przetwarzania (art. 18 RODO).
• Prawo do przenoszenia danych (art. 20 RODO) - otrzymania danych w ustrukturyzowanym, powszechnie używanym formacie (JSON) i przekazania ich innemu administratorowi.
• Prawo wniesienia sprzeciwu (art. 21 RODO) - wobec przetwarzania opartego na uzasadnionym interesie (art. 6 ust. 1 lit. f RODO).
• Prawo do cofnięcia zgody (art. 7 ust. 3 RODO) - w zakresie przetwarzania opartego na zgodzie. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed cofnięciem.
• Prawo do niepodlegania decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu (art. 22 RODO) - szczegóły w §19.
• Prawo wniesienia skargi do organu nadzorczego - szczegóły w §21.

Aby zrealizować swoje prawa, wyślij wiadomość na kontakt@lern.one z opisem żądania oraz danymi pozwalającymi zidentyfikować Twoje Konto. Odpowiemy w terminie do 30 dni od otrzymania żądania (art. 12 ust. 3 RODO). Realizacja praw jest bezpłatna, chyba że żądania są wyraźnie nieuzasadnione lub nadmierne (art. 12 ust. 5 RODO).

Administrator stosuje środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych adekwatną do zagrożeń i kategorii danych:

• szyfrowanie połączeń (TLS 1.2+) między Użytkownikiem a Serwisem,
• szyfrowanie danych wrażliwych w spoczynku (AES-256-GCM dla tokenów integracji),
• hasła przechowywane wyłącznie w postaci kryptograficznych skrótów (bcrypt),
• wieloczynnikowe uwierzytelnianie do paneli administracyjnych Administratora,
• kontrola dostępu oparta na polityce minimalnych uprawnień (least privilege) i Row Level Security w bazie danych,
• codzienne kopie zapasowe bazy i plików w osobnej lokalizacji (region EU), szyfrowane, chronione blokadą przed usunięciem, retencja 30 dni,
• monitoring bezpieczeństwa, wykrywanie anomalii, ochrona przed atakami DDoS,
• cykliczne audyty bezpieczeństwa kodu i infrastruktury,
• umowy powierzenia z procesorami zgodnie z art. 28 RODO.
• limity liczby żądań i blokada urządzeń wykorzystywanych do nadużyć (rejestracje masowe, spam),
• automatyczne maskowanie danych osobowych (e-mail, tokeny, hasła) w logach i narzędziach diagnostycznych,
• podgląd aktywnych sesji w Ustawieniach z możliwością wylogowania pozostałych urządzeń.

Uwierzytelnianie dwuskładnikowe (2FA)

Logowanie hasłem do Serwisu nie obsługuje obecnie drugiego składnika (kodu z aplikacji ani klucza sprzętowego). Wprowadzenie 2FA jest zaplanowane; o jego udostępnieniu poinformujemy w aktualizacjach produktu.

Do tego czasu zalecamy Korepetytorom: logowanie kontem Google (drugi składnik skonfigurowany w Google chroni wtedy również logowanie do Serwisu), użycie unikalnego, długiego hasła z menedżera haseł, regularny przegląd aktywnych sesji w Ustawieniach oraz nieudostępnianie linków do tablic i portalu ucznia osobom postronnym. Panele administracyjne Administratora są chronione uwierzytelnianiem wieloskładnikowym.

12.1. Zakres i cel dostępu. Personel Administratora nie przegląda rutynowo treści tworzonych przez Użytkowników (w tym zawartości Tablicy, plików, wiadomości). Dostęp do takich treści jest możliwy wyłącznie: (a) w odpowiedzi na zgłoszenie błędu, prośbę o wsparcie techniczne lub reklamację złożoną przez Użytkownika, (b) w celu zdiagnozowania i naprawy incydentu technicznego zgłoszonego automatycznie przez systemy monitorujące, (c) w celu wykrycia i wyjaśnienia podejrzewanego naruszenia Regulaminu lub zagrożenia bezpieczeństwa Serwisu, (d) na żądanie uprawnionych organów państwowych.

12.2. Minimalizacja i rejestrowanie dostępu. Dostęp o podwyższonych uprawnieniach (tzw. service-role, pomijający standardowe mechanizmy kontroli dostępu oparte na Row Level Security) jest przyznawany wyłącznie wybranym osobom z personelu Administratora, ograniczony do zakresu niezbędnego do realizacji celu, o którym mowa w pkt 12.1, oraz każdorazowo odnotowywany wraz z powodem dostępu w wewnętrznym dzienniku zdarzeń.

12.3. Poufność. Personel Administratora mający dostęp do treści Użytkownika jest zobowiązany do zachowania poufności i wykorzystania uzyskanych informacji wyłącznie w celu, w jakim dostęp został przyznany. Zasady dotyczące blokowania Kont w przypadku nadużyć (spam, fałszywe Konta, wielokrotna rejestracja) opisane są w Regulaminie.

Serwis stosuje pliki cookies oraz podobne technologie (Local Storage, Session Storage, IndexedDB) - szczegółowe zasady opisane są w odrębnej Polityce cookies. Polityka cookies stanowi uzupełnienie niniejszej Polityki prywatności.

Moduł Asystenta AI w Serwisie korzysta z modeli językowych dostarczanych przez Anthropic PBC. Korzystanie z modułu AI wiąże się z następującymi konsekwencjami dla Twoich danych:

• Treść Twojego zapytania (prompt) jest wysyłana do API Anthropic w celu wygenerowania odpowiedzi. Anthropic nie wykorzystuje tych danych do trenowania modeli (zgodnie z polityką API).
• Zapytania i odpowiedzi są zapisywane w naszej bazie (region EU) jako historia rozmów Twojego Konta. Możesz w każdej chwili usunąć dowolną rozmowę.
• Przesyłane do AI obrazy (np. zdjęcia zadań) są przekazywane do Anthropic na czas wygenerowania odpowiedzi. Nie są wykorzystywane poza tym celem.
• Wszystkie kluczowe parametry (klucz API, tokeny) są przechowywane wyłącznie po stronie serwerowej - Twoja przeglądarka nigdy nie ma do nich dostępu.

Nie wprowadzaj do Asystenta AI danych osobowych wrażliwych (art. 9 ust. 1 RODO - zdrowie, pochodzenie etniczne, orientacja seksualna, dane biometryczne) ani danych objętych tajemnicą zawodową.

Korepetytor korzystający z Serwisu, który gromadzi dane swoich Uczniów i ich opiekunów (imię i nazwisko, kontakt, harmonogram, postępy, oceny, notatki, rozliczenia), jest odrębnym administratorem danych osobowych w odniesieniu do tych danych. Lern.one działa wówczas jako podmiot przetwarzający (procesor) na podstawie umowy powierzenia przetwarzania z art. 28 RODO, której treść zawiera §16 niniejszej Polityki wraz z §13.2 Regulaminu.

Oznacza to, że:

• Korepetytor decyduje o celach i sposobach przetwarzania danych Uczniów,
• Korepetytor jest zobowiązany do spełnienia wobec Uczniów obowiązków informacyjnych z art. 13-14 RODO,
• Korepetytor odpowiada za uzyskanie wymaganych zgód (np. od opiekunów prawnych Uczniów niepełnoletnich),
• Lern.one przetwarza dane Uczniów wyłącznie na udokumentowane polecenie Korepetytora (użycie funkcji Serwisu jest takim poleceniem) i w zakresie niezbędnym do świadczenia Usług,
• Korepetytor decyduje, jakie dane o Uczniu zapisuje. Nie należy wprowadzać danych wymienionych w §17.

Niniejszy paragraf, łącznie z §15 oraz §13.2 Regulaminu, stanowi umowę powierzenia przetwarzania danych osobowych zawieraną między Korepetytorem (administrator) a Lern.one (podmiot przetwarzający). Umowa zostaje zawarta z chwilą wprowadzenia do Serwisu pierwszych danych Ucznia lub opiekuna i obowiązuje do usunięcia Konta Korepetytora. Na życzenie udostępniamy jej treść jako odrębny dokument w formie do podpisu; wystarczy napisać na kontakt@lern.one.

16.1. Przedmiot, charakter i cel przetwarzania

Przechowywanie, porządkowanie, wyświetlanie, udostępnianie wskazanym przez Korepetytora osobom (Uczeń, opiekun), wysyłka powiadomień, obsługa rozliczeń i płatności, przetwarzanie przez Asystenta AI na wyraźne polecenie Korepetytora oraz tworzenie kopii zapasowych, w celu umożliwienia Korepetytorowi prowadzenia i organizowania korepetycji.

16.2. Kategorie osób i danych

Osoby: Uczniowie (w tym niepełnoletni), ich rodzice i opiekunowie prawni, osoby rezerwujące termin. Dane: identyfikacyjne (imię i nazwisko), kontaktowe (e-mail, telefon), harmonogram i obecności, postępy, oceny i notatki dotyczące nauki, treści tablic i prac domowych, wiadomości, rozliczenia (stawki, należności, płatności), dane do faktur.

16.3. Obowiązki Lern.one

• przetwarzanie danych wyłącznie na udokumentowane polecenie Korepetytora, z wyjątkiem sytuacji, gdy wymaga tego prawo (o czym informujemy, o ile prawo na to pozwala),
• zapewnienie, że personel z dostępem do danych jest zobowiązany do zachowania poufności, a dostęp odbywa się na zasadach opisanych w §12,
• stosowanie środków technicznych i organizacyjnych opisanych w §11,
• korzystanie z podprocesorów wymienionych w §5; o każdej zamierzonej zmianie informujemy e-mailem z co najmniej 14-dniowym wyprzedzeniem, a Korepetytor może zgłosić sprzeciw, którego skutkiem jest prawo do rozwiązania umowy i usunięcia Konta przed wejściem zmiany w życie,
• pomoc w realizacji praw osób, których dane dotyczą (art. 12–22 RODO): Korepetytor realizuje je narzędziami Serwisu, a w pozostałym zakresie na wniosek wysłany na kontakt@lern.one,
• pomoc w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, naruszenia, ocena skutków), z uwzględnieniem charakteru przetwarzania i dostępnych informacji,
• zgłaszanie Korepetytorowi naruszeń ochrony danych dotyczących jego Uczniów bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia, wraz z informacjami potrzebnymi do zgłoszenia organowi nadzorczemu,
• usunięcie danych po zakończeniu świadczenia Usług (usunięcie Konta), zgodnie z §9, chyba że prawo nakazuje ich dalsze przechowywanie,
• udostępnianie informacji niezbędnych do wykazania spełnienia obowiązków z art. 28 RODO oraz umożliwienie audytu: raz w roku, po uzgodnieniu terminu z co najmniej 30-dniowym wyprzedzeniem, w sposób niezakłócający pracy Serwisu, na koszt Korepetytora; w pierwszej kolejności w formie odpowiedzi na pytania i przekazania dokumentacji.

16.4. Obowiązki Korepetytora

Korepetytor odpowiada za legalność wprowadzanych danych (podstawa prawna, obowiązek informacyjny wobec Uczniów i opiekunów, zgody opiekunów niepełnoletnich), za ich adekwatność i za nieprzekazywanie danych wymienionych w §17. Korepetytor zapewnia ochronę własnego Konta (§11) oraz odpowiedzialnie zarządza linkami udostępniania.

16.5. Transfery poza EOG

Korepetytor upoważnia Lern.one do korzystania z podprocesorów mających siedzibę poza EOG na warunkach opisanych w §6 (standardowe klauzule umowne, Data Privacy Framework).

Serwis służy do organizacji korepetycji: harmonogramu, materiałów, postępów w nauce i rozliczeń. Nie jest zaprojektowany do przetwarzania danych szczególnych kategorii (art. 9 RODO) ani innych danych wymagających podwyższonej ochrony. W polach tekstowych (notatki o uczniu, opisy lekcji, wiadomości, tablica, prace domowe, Asystent AI, pliki) prosimy nie zapisywać:

• danych o zdrowiu: diagnoz, orzeczeń o niepełnosprawności, opinii poradni psychologiczno-pedagogicznych (dysleksja, ADHD, spektrum autyzmu), informacji o lekach, terapii i stanie psychicznym. Jeżeli Uczeń potrzebuje dostosowania, zapisz samo dostosowanie („więcej czasu na zadania”, „większa czcionka”, „krótsze bloki pracy”), nie jego przyczynę;
• pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych lub światopoglądowych, przynależności do związków zawodowych, orientacji i życia seksualnego, danych genetycznych i biometrycznych;
• numerów PESEL, numerów dowodów osobistych i paszportów, skanów dokumentów tożsamości i legitymacji Uczniów (do faktury wystarczy imię, nazwisko i adres; NIP tylko dla firm);
• informacji o wyrokach, postępowaniach sądowych, konfliktach rodzinnych i sytuacji opiekuńczej wykraczających poza to, kto jest opiekunem kontaktowym;
• danych finansowych Uczniów i opiekunów poza kwotą i statusem rozliczenia: numerów kart, danych logowania do bankowości, numerów rachunków opiekunów (płatności obsługuje Stripe, który nie przekazuje nam numerów kart);
• haseł i danych logowania do jakichkolwiek usług (szkolnych dzienników, platform egzaminacyjnych, poczty);
• danych osób trzecich niezwiązanych z nauką (rodzeństwo, znajomi, nauczyciele szkolni z imienia i nazwiska w komentarzach oceniających);
• ocen charakteru, zachowania lub rodziny Ucznia w notatkach o postępach. Notatki mają dotyczyć nauki: co opanowane, co do powtórki, jaki plan.

Wyjątki, obsługiwane w wyodrębnionych i dodatkowo chronionych przepływach: legitymacja studencka Korepetytora przesyłana w celu uzyskania zniżki (osobny prywatny bucket, dostęp tylko dla personelu weryfikującego, usunięcie po decyzji) oraz dane weryfikacji tożsamości Korepetytora w Stripe Connect (przetwarzane przez Stripe jako odrębnego administratora, nie trafiają do naszej bazy).

Jeżeli Administrator dowie się (np. przy obsłudze zgłoszenia), że w Serwisie znajdują się dane z powyższej listy, poprosi Korepetytora o ich usunięcie, a w rażących przypadkach usunie je sam po poinformowaniu Korepetytora. Asystent AI nie służy do przetwarzania takich danych (§14).

Serwis nie jest skierowany do dzieci i nie umożliwia samodzielnej rejestracji osobom poniżej 16. roku życia. Osoby niepełnoletnie w wieku 16 lat i więcej mogą założyć Konto za zgodą przedstawiciela ustawowego. Konto Ucznia poniżej 16. roku życia może powstać wyłącznie na zaproszenie Korepetytora i za zgodą rodzica lub opiekuna prawnego; rodzic lub opiekun może w każdej chwili żądać dostępu do danych dziecka i ich usunięcia (kontakt@lern.one).

W przypadku gdy Korepetytor wprowadza do Serwisu dane Ucznia niepełnoletniego (np. w celu prowadzenia ewidencji lekcji), spoczywa na nim obowiązek uzyskania zgody opiekuna prawnego oraz spełnienia obowiązków informacyjnych (§15). Zakres danych o niepełnoletnim Uczniu należy ograniczyć do minimum: imię, kontakt do opiekuna, harmonogram, postępy w nauce (§17).

Jeżeli dowiemy się, że dane osobowe niepełnoletniego zostały wprowadzone do Serwisu bez zgody opiekuna prawnego, niezwłocznie je usuniemy.

Administrator nie podejmuje wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu (w tym profilowaniu), które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na Użytkownika (art. 22 ust. 1 RODO).

W Serwisie stosowane są elementy automatyzacji, ale wyłącznie w następującym zakresie:

• generowanie sugestii zadań i materiałów edukacyjnych dopasowanych do postępów Ucznia,
• automatyczne ocenianie zadań zamkniętych (test wyboru, prawda/fałsz),
• wykrywanie nadużyć, prób oszustwa, ataków na infrastrukturę.

Żadna z powyższych decyzji nie ma charakteru ostatecznego - Użytkownik może w każdej chwili zwrócić się o weryfikację decyzji przez człowieka.

W przypadku stwierdzenia naruszenia ochrony danych osobowych Administrator:

• zgłasza naruszenie do Prezesa UODO bez zbędnej zwłoki, nie później niż w terminie 72 godzin od stwierdzenia naruszenia (art. 33 RODO),
• jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, zawiadamia Użytkowników bez zbędnej zwłoki (art. 34 RODO),
• prowadzi wewnętrzny rejestr naruszeń wraz z podjętymi działaniami zaradczymi.

Użytkownikowi przysługuje prawo wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych:

Przed złożeniem skargi zachęcamy do skontaktowania się z Administratorem pod adresem kontakt@lern.one - większość spraw rozwiązujemy szybko i bezpośrednio.

Informacje handlowe i marketingowe (newsletter, oferty, promocje, informacje o planach i cenach, wiadomości zachęcające do zakupu lub do powrotu do Serwisu) wysyłamy wyłącznie na podstawie odrębnej, dobrowolnej zgody Użytkownika (art. 6 ust. 1 lit. a RODO oraz art. 10 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną i przepisy Prawa komunikacji elektronicznej). Zgoda nie jest warunkiem założenia Konta ani korzystania z Serwisu.

Zgodę można wyrazić przy rejestracji (niezaznaczone pole wyboru), w trakcie konfiguracji Konta oraz w ustawieniach Konta. Zapisujemy datę, źródło i treść zgody, aby móc wykazać jej udzielenie (art. 7 ust. 1 RODO). Zgodę można cofnąć w dowolnym momencie: przez kliknięcie linku „Wypisz się” w stopce każdej wiadomości, w ustawieniach Konta lub przez wysłanie żądania na kontakt@lern.one. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

Komunikaty transakcyjne (potwierdzenia rejestracji, faktury, powiadomienia o lekcjach) wysyłane są na podstawie wykonania umowy (art. 6 ust. 1 lit. b RODO) - nie wymagają osobnej zgody i nie można się z nich wypisać bez usunięcia Konta.

Wiadomości serwisowe związane z Kontem. Niezależnie od zgody marketingowej możemy wysyłać wiadomości informacyjne związane z Twoim Kontem i usługami, z których już korzystasz, np. przypomnienie o niedokończonej konfiguracji Konta, o zbliżającym się końcu okresu próbnego lub o zmianach w Serwisie wpływających na Twoje Konto. Takie wiadomości nie zawierają ofert sprzedaży ani zachęt do zakupu wyższego planu i są wysyłane na podstawie wykonania umowy (art. 6 ust. 1 lit. b RODO).

Komunikaty wyświetlane wewnątrz Serwisu (np. banery i okna informacyjne w aplikacji) są częścią działania Serwisu i nie są wiadomościami wysyłanymi na zewnętrzną skrzynkę e-mail.

Administrator zastrzega sobie prawo do aktualizacji niniejszej Polityki w przypadku: zmian przepisów prawa, wprowadzenia nowych Usług lub funkcjonalności, zmiany procesorów lub odbiorców danych, zaleceń organów nadzorczych.

O istotnych zmianach Administrator poinformuje Użytkowników drogą mailową lub poprzez komunikat w Serwisie z co najmniej 14-dniowym wyprzedzeniem. Dalsze korzystanie z Serwisu po wejściu w życie zmian oznacza ich akceptację. Data na początku dokumentu wskazuje datę ostatniej aktualizacji.