Polityka Prywatności

Wersja z dnia 22 kwietnia 2026 r. · Obowiązuje od 22 kwietnia 2026 r.

1. Administrator danych

Administratorem Twoich danych osobowych jest:

Aleksander Marciniak prowadzący działalność gospodarczą pod firmą AM INFINITY VISIONARY,
wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG),
NIP: 7831936311,
adres: ul. Dojazdowa 2, 62-030 Luboń,
email: kontakt@czasnaexcela.pl.

W sprawach dotyczących ochrony danych osobowych możesz kontaktować się bezpośrednio z Administratorem pod powyższym adresem email. Administrator nie wyznaczył Inspektora Ochrony Danych (IOD) — zgodnie z art. 37 RODO nie ma takiego obowiązku w skali prowadzonej działalności.

2. Podstawa prawna i źródła informacji

Niniejsza Polityka opisuje przetwarzanie danych osobowych zgodnie z:

• RODO — rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.,
• UODO — ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych,
• UŚUDE — ustawą z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną,
• Prawo telekomunikacyjne — w zakresie plików cookies (art. 173).

3. Jakie dane przetwarzamy i w jakim celu

Realizacja umowy o dostarczanie Kursu. Zakres: email, imię, nazwisko, hasło (hash bcrypt), aktywność w kursie, notatki. Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy). Retencja: przez okres dostępu do Kursu + 3 lata po usunięciu konta (przedawnienie roszczeń).

Dokumentacja księgowa. Zakres: imię, nazwisko, adres rozliczeniowy, NIP (opcjonalnie), email, kwota, numer faktury. Podstawa: art. 6 ust. 1 lit. c RODO (obowiązek prawny — ustawa o rachunkowości). Retencja: 5 lat od końca roku obrachunkowego (art. 74 ust. 2 pkt 8 ustawy o rachunkowości).

Obsługa reklamacji i zgłoszeń DSA. Zakres: email, imię, treść zgłoszenia, korespondencja. Podstawa: art. 6 ust. 1 lit. c RODO (obowiązek z UPK + DSA) i lit. f (uzasadniony interes). Retencja: do 3 lat po zakończeniu sprawy.

Newsletter. Zakres: email, imię. Podstawa: art. 6 ust. 1 lit. a RODO (zgoda) + art. 10 UŚUDE. Retencja: do odwołania zgody.

Weryfikacja opinii. Zakres: email, numer zamówienia, treść opinii, imię + pierwsza litera nazwiska. Podstawa: art. 6 ust. 1 lit. c RODO (art. 4 ust. 2 pkt 3 UPK). Retencja: do usunięcia opinii przez Kursanta lub 5 lat.

Program partnerski. Zakres: email, imię, kod partnerski, kliknięcia (IP, user-agent, referrer), zamówienia powiązane, kwoty prowizji. Podstawa: art. 6 ust. 1 lit. b RODO (umowa partnerska) i lit. c (rozliczenia podatkowe). Retencja: 5 lat + 3 lata po rozwiązaniu umowy.

Certyfikaty ukończenia. Zakres: imię + pierwsza litera nazwiska, tytuł Kursu, data ukończenia, UUID. Podstawa: art. 6 ust. 1 lit. b RODO (umowa) i lit. a (publiczna weryfikacja — zgoda, odwoływalna). Retencja: bezterminowo (certyfikat jest trwałym dokumentem); publiczna weryfikacja do czasu cofnięcia zgody.

Bezpieczeństwo Serwisu. Zakres: adres IP, user-agent, typy akcji, znaczniki czasu. Podstawa: art. 6 ust. 1 lit. f RODO. Retencja: 12 miesięcy (audit_log).

Geolokalizacja IP. Zakres: adres IP (jednorazowo, nie zapisywany poza sesją). Podstawa: art. 6 ust. 1 lit. f RODO. Retencja: tylko na czas sesji.

Analityka. Tylko po zgodzie cookies. Zakres: pseudonimowe identyfikatory cookie, zagregowane dane o odsłonach. Retencja: 13 miesięcy.

4. Komu udostępniamy dane (odbiorcy)

Twoje dane udostępniamy wyłącznie podmiotom, które pomagają nam prowadzić Serwis.

• dhosting.pl sp. z o.o. — hosting serwera i bazy (procesor), Polska. Dane: wszystkie dane przechowywane w systemie. dhosting.pl/rodo
• Stripe Payments Europe Ltd. — operator płatności (samodzielny administrator), Irlandia (EOG) + USA. Dane: email, imię, nazwisko, adres rozliczeniowy, kwota, metoda płatności. stripe.com/privacy
• inFakt sp. z o.o. — wystawianie faktur (procesor, integracja KSeF), Polska. Dane: imię, nazwisko, NIP, adres, email, pozycje faktury, kwoty. infakt.pl/polityka
• Ministerstwo Finansów — KSeF. Dane z faktury zgodnie z art. 106e ustawy o VAT, Polska.
• MailerLite Limited — wysyłka mailingów (procesor), Irlandia (EOG) + USA (SCC). Dane: email, imię. mailerlite.com/legal/privacy
• Google Ireland Ltd. — OAuth „Zaloguj przez Google" (samodzielny administrator), Irlandia (EOG). Dane: email, imię, nazwisko, avatar, google_id — tylko dla Kursantów wybierających tę metodę logowania.
• ip-api.com — weryfikacja kraju IP (procesor), serwery UE. Dane: adres IP (jednorazowo, nie przechowywany). Planowana migracja na lokalną bazę MaxMind GeoLite2.
• Kancelaria prawna / księgowa — w razie potrzeby (procesor), Polska. Dane niezbędne do konkretnej sprawy.
• Organy państwowe (sąd, prokuratura, UODO, UOKiK) — tylko na żądanie, zakres wymagany przez organ.

5. Transfer danych poza EOG

Co do zasady przetwarzamy dane w Polsce i w EOG. W niektórych przypadkach dostawcy usług (Stripe, MailerLite) mogą transferować dane do USA. Transfery odbywają się na podstawie:

• Standardowych Klauzul Umownych (SCC) — decyzja Komisji UE 2021/914,
• Data Privacy Framework — decyzja Komisji UE z 10 lipca 2023 r. (dla dostawców certyfikowanych).

Kopię gwarancji zabezpieczeń można otrzymać na wniosek: kontakt@czasnaexcela.pl.

6. Twoje prawa

Zgodnie z RODO (art. 15-22) przysługują Ci następujące prawa:

• Prawo dostępu (art. 15),
• Prawo do sprostowania (art. 16),
• Prawo do usunięcia (art. 17) — z zastrzeżeniem obowiązków prawnych (np. faktury musimy trzymać 5 lat),
• Prawo do ograniczenia przetwarzania (art. 18),
• Prawo do przenoszenia danych (art. 20) — format JSON/CSV,
• Prawo sprzeciwu (art. 21) — wobec przetwarzania opartego na art. 6 ust. 1 lit. f, w tym marketingu bezpośredniego,
• Prawo do cofnięcia zgody w dowolnym momencie.

Aby skorzystać z tych praw: kontakt@czasnaexcela.pl. Odpowiadamy w ciągu 30 dni (art. 12 ust. 3 RODO).

Skarga do UODO: ul. Stawki 2, 00-193 Warszawa, tel. 22 531-03-00, uodo.gov.pl.

7. Pliki cookies

Serwis używa cookies w następujących kategoriach:

• Niezbędne (wymagane, bez zgody): PHPSESSID, csrf_token, cookie_consent, ref. Cel: sesja, koszyk, CSRF, kod partnerski. Okres: sesja / 30 dni / 12 miesięcy.
• Preferencje (po zgodzie): player_prefs, theme. Cel: ustawienia odtwarzacza i motywu. Okres: 12 miesięcy.
• Analityczne (po zgodzie): Google Analytics 4 — aktualnie nie jest aktywne do czasu pełnej zgodności z RODO i konfiguracji anonimizacji IP. Okres: 13 miesięcy.
• Marketingowe: aktualnie brak pikseli marketingowych. Jeśli zostaną dodane — osobna zgoda i aktualizacja Polityki.

Zarządzanie zgodami: Otwórz ustawienia cookies.

8. Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne (art. 32 RODO):

• szyfrowanie połączenia TLS 1.3 (HSTS preload),
• hasła przechowywane jako hash bcrypt (cost 12),
• sekrety 2FA szyfrowane AES-256-GCM w spoczynku,
• tokeny resetowania hasła jako hash SHA-256,
• dostęp administracyjny wymaga 2FA,
• audit log dostępów i zmian krytycznych (audit_log),
• szyfrowane backupy w osobnej lokalizacji,
• zasada najmniejszego uprawnienia dla pracowników.

Zgłaszanie incydentów: kontakt@czasnaexcela.pl. Incydenty zgłaszamy do UODO w ciągu 72 godzin (art. 33 RODO) i powiadamiamy osoby poszkodowane, gdy istnieje wysokie ryzyko dla ich praw (art. 34 RODO).

9. Profilowanie i decyzje automatyczne

Nie prowadzimy profilowania w rozumieniu art. 22 RODO, tj. nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które miałyby skutki prawne lub istotnie wpływały na Ciebie.

Wyjątek: automatyczna blokada konta po 10 nieudanych próbach logowania (na 30 minut) — środek bezpieczeństwa; w każdej chwili możliwe ręczne odblokowanie przez kontakt mailowy.

10. Dane dzieci

Serwis skierowany jest do osób pełnoletnich oraz powyżej 16. roku życia za zgodą opiekuna prawnego. Nie zbieramy świadomie danych od osób poniżej 16 lat.

11. Publiczna weryfikacja certyfikatów

Pod adresem /certyfikat?uid=<UUID> publikujemy weryfikację certyfikatu, zawierającą:

• imię Kursanta + pierwszą literę nazwiska (np. „Anna M."),
• tytuł ukończonego Kursu,
• datę ukończenia,
• unikalny identyfikator UUID.

Pełne nazwisko ani email NIE są publikowane. Publiczną weryfikację można wyłączyć w ustawieniach konta.

12. Program partnerski — szczególne informacje

Po kliknięciu w link partnerski (/ref/KOD) lub zapisie do programu przetwarzamy:

• adres IP, user-agent, referrer — w tabeli affiliate_clicks na potrzeby rozliczenia prowizji,
• powiązanie zakupu z kodem partnerskim przez 30 dni od kliknięcia (cookie ref).

Partnerzy (autorzy kodów) widzą tylko zagregowane statystyki (liczba kliknięć, zakupów, kwoty prowizji). NIE widzą Twoich danych osobowych.

13. Zmiany Polityki Prywatności

1. Polityka może być aktualizowana w przypadku zmian prawa, funkcjonalności Serwisu lub listy odbiorców.
2. O istotnych zmianach informujemy mailowo co najmniej 14 dni przed wejściem w życie.
3. Archiwum wersji: /legal/archive.