Polityka prywatności

1. Administrator danych

Administratorem danych jest Dmytro Budnikov — przedsiębiorca wpisany do CEIDG (Polska), NIP: 5732972952, REGON: 544766206 („my"). Kontakt we wszystkich sprawach prywatności: hello@example.com.

Niniejsza polityka wyjaśnia, jakie dane osobowe przetwarza Lumo, w jakim celu i jakie prawa przysługują Ci na mocy RODO.

2. Jakie dane przetwarzamy

• Dane konta: adres e-mail; zdarzenia logowania (logowanie bezhasłowe przez magic link — nigdy nie przechowujemy hasła).
• Odpowiedzi z quizu: Twój cel nauki i preferencje (cel, motywacja, poziom, godziny tygodniowo, termin, format, język nauki, wcześniejsze próby). Pola tekstowe mogą zawierać to, co sam(a) wpiszesz — prosimy nie podawać danych wrażliwych, których nie chcesz przetwarzać.
• Dane nauki: wygenerowane kursy, postępy w lekcjach, przesłane zadania domowe (tekst, kod i opcjonalne zrzuty ekranu), oceny i informacje zwrotne AI.
• Metadane płatności: plan i status subskrypcji, daty, identyfikatory transakcji od partnera płatniczego. Nigdy nie widzimy ani nie przechowujemy danych Twojej karty — płatności obsługuje Paddle jako Merchant of Record, będący samodzielnym administratorem w zakresie przetwarzania płatności.
• Dane techniczne: pliki cookie ściśle niezbędne do działania Serwisu (sesja logowania, wybór języka, anonimowy identyfikator quizu); adres IP używany przejściowo do limitowania zapytań (przechowywany wyłącznie jako solony hash) i wykrywania języka na poziomie kraju; rejestr użycia API (liczba tokenów i koszt wywołań AI powiązane z kontem — na potrzeby rzetelności rozliczeń i zapobiegania nadużyciom).

Nie stosujemy trackerów reklamowych ani marketingowych i nie sprzedajemy danych osobowych.

3. Cele i podstawy prawne

• Wykonanie umowy (art. 6 ust. 1 lit. b RODO): konto, odpowiedzi z quizu, generowanie kursów, sprawdzanie zadań, płatności, wsparcie.
• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f): bezpieczeństwo, limitowanie zapytań i zapobieganie nadużyciom, diagnostyka błędów, rozliczanie kosztów AI.
• Obowiązek prawny (art. 6 ust. 1 lit. c): dokumentacja podatkowo-księgowa zakupów.
• Zgoda (art. 6 ust. 1 lit. a): wyłącznie tam, gdzie wyraźnie o nią poprosimy (np. opcjonalne e-maile marketingowe, jeśli kiedyś się pojawią). Zgodę można wycofać w każdej chwili.

Podanie adresu e-mail i odpowiedzi z quizu jest wymogiem umownym: bez nich nie możemy założyć konta ani wygenerować kursu. Pozostałe dane — np. zrzuty ekranu do zadań — są dobrowolne; ich niepodanie oznacza jedynie, że dana funkcja nie zostanie użyta.

4. Przetwarzanie przez AI — co warto wiedzieć

• Treści kursów generują, a zadania sprawdzają modele AI (Anthropic Claude) działające na nasze polecenie. Twoje odpowiedzi z quizu i zadania (w tym zrzuty ekranu) są w tym celu przekazywane do Anthropic jako ruch API. Zgodnie z komercyjnymi warunkami API Anthropic dane te nie są wykorzystywane do trenowania modeli.
• Automatyczna ocena zadań: oceny (1–10) wystawia automatycznie AI. Jedynym skutkiem jest Twój postęp w kursie — nieudana próba pozwala na poprawkę, a po dwóch próbach lekcja jest oznaczana jako „zaliczona z uwagami", więc nigdy nie jesteś zablokowany(a). Jeśli nie zgadzasz się z oceną, zgłoś lekcję lub napisz do nas — ocenę zweryfikuje człowiek.
• Treści generowane przez AI są oznaczone w interfejsie; AI może się mylić — zob. Regulamin.

5. Odbiorcy danych

Podmioty przetwarzające — dostawcy działający na nasze polecenie, związani umowami powierzenia:

| Dostawca | Cel | Miejsce przetwarzania | |---|---|---| | Supabase | baza danych, logowanie, przechowywanie plików | UE (Frankfurt, Niemcy) | | Vercel | hosting i dostarczanie aplikacji | UE/globalny edge; firma z USA | | Anthropic | generowanie treści i sprawdzanie zadań przez AI | USA | | Resend | e-maile transakcyjne (linki logowania, powiadomienia) | USA |

Samodzielni administratorzy — usługi przetwarzające Twoje dane według własnych polityk prywatności: Paddle (płatności, jako Merchant of Record) oraz Google/YouTube (osadzone wideo w lekcjach). Lekcje osadzają filmy przez odtwarzacz w trybie ochrony prywatności (youtube-nocookie.com); odtwarzacz ładuje się z serwerów Google przy otwarciu strony lekcji zawierającej wideo.

Przekazywanie poza EOG: przekazania do USA (Anthropic, Vercel, Resend, Google) opierają się na EU–US Data Privacy Framework i/lub standardowych klauzulach umownych (SCC); przekazania do Wielkiej Brytanii (Paddle) obejmuje decyzja Komisji Europejskiej o adekwatności UK. Dane w Supabase są hostowane w UE; ewentualny zdalny dostęp personelu Supabase (firma z USA) obejmują SCC w naszej umowie powierzenia. Kopie stosowanych zabezpieczeń możesz uzyskać pisząc na hello@example.com; udział w Data Privacy Framework można zweryfikować na dataprivacyframework.gov.

6. Okres przechowywania

• Dane konta i nauki: przez czas istnienia konta. Usunięcie konta kasuje profil, odpowiedzi z quizu, kursy, zadania (wraz z przesłanymi zrzutami) i powiązane rejestry użycia.
• Odpowiedzi z quizu niepowiązane z żadnym kontem (bezpłatne preview bez rejestracji): usuwane nie później niż po 12 miesiącach od przesłania.
• Dokumentacja zakupów i podatkowa: przez okres wymagany polskim prawem podatkowym (co do zasady 5 lat).
• Hashe limitowania zapytań i przejściowe logi techniczne: krótkotrwałe, usuwane okresowo.

7. Twoje prawa

Na mocy RODO masz prawo do: dostępu do danych i ich kopii, sprostowania, usunięcia („prawo do bycia zapomnianym"), ograniczenia przetwarzania, sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie oraz przenoszenia danych, które nam dostarczyłeś(-aś). Zgodę można wycofać w każdej chwili.

Aby skorzystać z praw, napisz na hello@example.com. Odpowiadamy w ciągu miesiąca. Usunięcie konta wykonujemy jako pełne, kaskadowe usunięcie ze wszystkich naszych systemów.

Masz też prawo wnieść skargę do organu nadzorczego — w Polsce: Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

8. Pliki cookie

Używamy wyłącznie plików cookie ściśle niezbędnych do działania Serwisu: sesja logowania (Supabase), wybór języka oraz anonimowy identyfikator łączący quiz z kontem po rejestracji. Nie ustawiamy cookies analitycznych, reklamowych ani marketingowych — dlatego Serwis nie wyświetla banera cookie.

9. Dzieci

Serwis jest przeznaczony dla osób w wieku 16+. Świadomie nie przetwarzamy danych młodszych dzieci; jeśli uważasz, że dziecko przekazało nam dane, napisz do nas — usuniemy je.

10. Bezpieczeństwo

Dane są przechowywane w UE (Supabase, Frankfurt) z zabezpieczeniami na poziomie wierszy (RLS) — każdy użytkownik ma dostęp wyłącznie do własnych rekordów; przesłane pliki trafiają do prywatnego magazynu czytelnego tylko dla właściciela; klucze API i wywołania AI istnieją wyłącznie po stronie serwera; dostęp do systemów produkcyjnych ma wyłącznie operator.

11. Zmiany polityki

Polityka może być aktualizowana wraz z rozwojem Serwisu. O istotnych zmianach informujemy e-mailem lub w Serwisie. Data ostatniej wersji znajduje się na górze strony.