Polityka prywatności

1. Administrator danych

Administratorem Twoich danych osobowych jest Michał Nowakowski, prowadzący działalność gospodarczą pod firmą Kancelaria Radcy Prawnego FinRegTech Michał Nowakowski, ul. Rubinowa 15, 05-205 Wola Rasztowska, NIP 9532557989, REGON 380883717.

W sprawach związanych z prywatnością możesz kontaktować się pod adresem e-mail: michal@nowakowski.ai. Dodatkowy adres korespondencyjny administratora to nowakowski@finregtech.pl. Administrator nie powołał inspektora ochrony danych (IOD) - wszelkie wnioski i pytania należy kierować bezpośrednio do administratora.

2. Zakres i charakter serwisu

Serwis dostępny w domenie cyberszlif.pl jest internetową platformą edukacyjną z zakresu cyberbezpieczeństwa, wydawaną w ramach ekosystemu LegalArchitect.pl.

3. Kategorie danych, cele i podstawy prawne przetwarzania

• Publiczne przeglądanie i logi bezpieczeństwa: Adres IP, znacznik czasu, identyfikator przeglądarki i ścieżka żądania. Cel: bezpieczeństwo i diagnostyka serwisu. Podstawa: prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO).
• Konto użytkownika: Znormalizowany adres e-mail, publiczny pseudonim, skrót hasła utworzony algorytmem bcrypt (nigdy nie przechowujemy haseł jawnym tekstem), rekordy sesji, logi akceptacji regulaminu/prywatności/wyborów marketingowych. Cel: świadczenie usług platformy, zapewnienie bezpieczeństwa konta. Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO), prawny obowiązek w stosownych przypadkach (art. 6 ust. 1 lit. c RODO), uzasadniony interes (art. 6 ust. 1 lit. f RODO) oraz w przypadku komunikacji marketingowej - wyraźna zgoda (art. 6 ust. 1 lit. a RODO).
• Postępy w nauce: Odpowiedzi w teście poziomującym i ich wynik, postęp w lekcjach, ćwiczeniach i testach, punkty XP, liczba dni nauki z rzędu, odznaki, znaczniki czasu. Cel: realizacja usługi i personalizacja (art. 6 ust. 1 lit. b RODO), zapewnienie integralności platformy i obrona przed roszczeniami (art. 6 ust. 1 lit. f RODO). Wyniki edukacyjne służą wyłącznie realizacji i personalizacji usługi szkoleniowej.
• Zakupy i rozliczenia: Dane zamówienia, produkt, cena, status płatności, dane do faktury i historia dostępu. Cel: zawarcie i wykonanie umowy, obsługa płatności, fakturowanie i obrona roszczeń. Podstawa: art. 6 ust. 1 lit. b, c i f RODO.
• Organizacja: Imię i nazwisko, służbowy e-mail, dział, rola, zaproszenie, status, postęp, wyniki i zaświadczenia Uczestnika. Cel: realizacja pakietu organizacyjnego i dokumentowanie szkolenia. W tym zakresie Organizacja jest administratorem, a Usługodawca podmiotem przetwarzającym.
• Symulowany terminal: Polecenia wpisywane przez użytkownika i lokalny symulowany stan potrzebny do wykonania i walidacji ćwiczeń. Nie łączymy się z rzeczywistymi systemami docelowymi; stan jest ograniczony do sesji szkoleniowej i może być tymczasowy.
• Mentor AI: Twoje zapytania, kontekst wybranej lekcji oraz opcjonalny kontekst terminala są przesyłane za pośrednictwem Replit AI Integrations do OpenAI wyłącznie w celu wygenerowania odpowiedzi. Nie należy wprowadzać danych poufnych i osobowych w zapytaniach do Mentora. Aplikacja nie przechowuje historii rozmów na serwerze; historia przypisana do lekcji jest zapisywana w pamięci lokalnej przeglądarki, dopóki jej nie wyczyścisz. Zasady retencji i wykorzystania danych przez dostawców usług AI określają zawarte z nimi umowy oraz ich polityki prywatności.
• Telemetria jakościowa: Serwer może zapisywać pseudonimizowane zdarzenia dotyczące przebiegu nauki (bez treści wpisywanych przez użytkownika) oraz dobrowolne oceny ankietowe. Identyfikator konta jest wyliczany jako HMAC z sekretem serwera. Dane służą do agregatów jakościowych i są automatycznie usuwane po 12 miesiącach.
• Ankieta: Dobrowolne oceny kursu i komentarze dotyczące jego jakości. Cel: poprawa programu i bezpieczeństwo usługi. Podanie komentarza jest dobrowolne.
• Uwierzytelnianie i e-maile odzyskiwania: Adres e-mail odbiorcy i treść wiadomości wysyłane przez Resend. Podstawa: wykonanie umowy i uzasadniony interes (art. 6 ust. 1 lit. b i f RODO).
• Lista oczekujących na szkolenie AI Governance Officer: Adres e-mail, źródło zapisu, wersja i czas wyrażenia zgody. Cel: marketing wysyłany wyłącznie za wyraźną zgodą (art. 6 ust. 1 lit. a RODO) oraz cele dowodowe wykazania zgody (art. 6 ust. 1 lit. f RODO). Wycofanie zgody: michal@nowakowski.ai.
• Certyfikat ukończenia: Imię i nazwisko podane dobrowolnie do wydania certyfikatu, wynik egzaminu, wykaz zaliczonych modułów i data wystawienia. Cel: wygenerowanie imiennego dokumentu weryfikacyjnego. Podstawa: wykonanie umowy/żądanie użytkownika (art. 6 ust. 1 lit. b RODO). Zwracamy uwagę, że certyfikat można zweryfikować pod publicznym, losowym adresem URL, co oznacza, że osoby, którym go udostępnisz (np. pracodawca), zobaczą na nim Twoje imię i nazwisko.
• Formularz zapytania o pakiet dla organizacji: Dane podane w formularzu zapytania o pakiet dla organizacji (imię i nazwisko, e-mail, telefon - opcjonalnie, nazwa organizacji, liczba osób, treść) są przetwarzane w celu przygotowania i przesłania oferty (art. 6 ust. 1 lit. b RODO) i przechowywane przez 12 miesięcy od ostatniego kontaktu, chyba że dojdzie do zawarcia umowy.
• Ścieżka studencka i osoby w wieku 16-17 lat: Przetwarzamy kategorię wieku, adres e-mail uczestnika oraz - gdy jest to wymagane - adres e-mail przedstawiciela ustawowego, informację o zgodzie i jej potwierdzeniu. Celem jest weryfikacja uprawnienia do udziału, uzyskanie wymaganej zgody, świadczenie usługi edukacyjnej i dokumentowanie rozliczalności. Podstawą jest podjęcie działań na żądanie osoby, której dane dotyczą, i wykonanie umowy (art. 6 ust. 1 lit. b RODO), obowiązek prawny, gdy ma zastosowanie (art. 6 ust. 1 lit. c RODO), oraz prawnie uzasadniony interes polegający na wykazaniu prawidłowej obsługi zgody (art. 6 ust. 1 lit. f RODO). Dane weryfikacyjne są przechowywane przez okres dostępu, a następnie przez czas niezbędny do ustalenia, dochodzenia lub obrony roszczeń, nie dłużej niż 6 lat. Uczestnikowi i przedstawicielowi ustawowemu przysługują prawa opisane w sekcji 7.
• Porzucone zamówienia i oczekujące potwierdzenia: Dane niedokończonego zamówienia są usuwane po 30 dniach. Niepotwierdzone dane oczekujące na potwierdzenie DOI są usuwane po 7 dniach.
• Anonimowe zachowywanie postępów: Podpisane, niezbędne ciasteczko własne, które łączy anonimowy postęp szkoleniowy podczas tworzenia konta.

4. Odbiorcy danych i podmioty przetwarzające

Dane mogą być przekazywane następującym podmiotom współpracującym i dostawcom usług (procesorom):

• Replit, Inc., 548 Market Street #59262, San Francisco, CA 94104, USA - hosting aplikacji, API i zarządzanej bazy PostgreSQL. Polityka prywatności.
• Stripe Payments Europe, Limited i podmioty grupy Stripe - obsługa płatności, zwrotów i faktur.
• Resend, Inc. - obsługa e-maili transakcyjnych oraz potwierdzeń listy oczekujących (odbiera e-mail i treść wiadomości). Polityka prywatności.
• OpenAI, L.L.C. za pośrednictwem Replit AI Integrations - generowanie odpowiedzi Mentora AI na podstawie zapytania i kontekstu. Polityka prywatności.
• Google Ireland Limited i Google LLC - po uzyskaniu zgody cookies marketingowe Google Ads, pomiar konwersji oraz, jeśli wyrazisz zgodę marketingową, enhanced conversions z adresem e-mail przekazanym wyłącznie w postaci skrótu SHA-256. Polityka prywatności Google.
• Organom administracji państwowej i władzom publicznym, w przypadku gdy wymaga tego prawo, oraz profesjonalnym doradcom prawnym, księgowym i IT związanym obowiązkiem zachowania poufności.

Twoje dane związane z platformą nie są sprzedawane ani udostępniane podmiotom trzecim w celach marketingu zewnętrznego.

5. Przekazywanie danych poza EOG

Z uwagi na korzystanie z usług dostawców takich jak Replit, OpenAI i Resend, Twoje dane mogą być przetwarzane w USA. Zabezpieczenia obejmują Standardowe Klauzule Umowne (SCC) oraz, w stosownych przypadkach, uczestnictwo w programie EU-US Data Privacy Framework. Kopie odpowiednich zabezpieczeń można uzyskać, kontaktując się z administratorem.

6. Okresy przechowywania danych

• Konto, profil i postępy: do momentu usunięcia konta lub zgłoszenia żądania, a następnie tylko w zakresie niezbędnym do obrony przed roszczeniami lub wypełnienia obowiązków prawnych.
• Sesje uwierzytelniające: token w przeglądarce jest ważny do 30 dni lub do momentu wylogowania albo unieważnienia sesji. Rekord techniczny sesji, zawierający wyłącznie skrót tokenu, może być przechowywany dłużej w zakresie niezbędnym dla bezpieczeństwa i rozliczalności.
• Tokeny (resetowanie hasła i aktywacja przeniesionych kont): ważne maksymalnie przez 1 godzinę i jednorazowe. W bazie zapisujemy tylko ich skróty; rekordy wykorzystania mogą być przechowywane dłużej dla bezpieczeństwa i celów dowodowych.
• Hasło: przechowywane wyłącznie jako skrót bcrypt.
• Logi techniczne: zgodnie z konfiguracją hostingu i bezpieczeństwa, nie dłużej niż jest to niezbędne.
• Historia konwersacji AI: wyłącznie w lokalnej pamięci przeglądarki użytkownika, do czasu jej wyczyszczenia; same zapytania przetwarzane są tymczasowo w celu udzielenia odpowiedzi (z zastrzeżeniem zasad retencji procesorów).
• Dane z listy oczekujących: do momentu wycofania zgody lub ustania celu, a następnie jako dowód w ramach obrony przed roszczeniami lub wykazania zgodności prawnej. Niepotwierdzone dane DOI są usuwane po 7 dniach.
• Logi audytowe zgód: przez okres niezbędny do celów dowodowych.
• Telemetria jakościowa: 12 miesięcy od utworzenia zdarzenia lub ankiety; proces automatycznego czyszczenia usuwa dane po tym terminie.

7. Twoje prawa

Zgodnie z RODO przysługuje Ci prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia, wniesienia sprzeciwu wobec przetwarzania, a także prawo do wycofania zgody w dowolnym momencie (co nie wpływa na zgodność z prawem przetwarzania przed jej wycofaniem). Posiadasz również prawo wniesienia skargi do organu nadzorczego (Prezesa UODO).

Żądania można składać na adres: nowakowski@finregtech.pl. Będą one rozpatrywane bez zbędnej zwłoki, zazwyczaj w terminie do jednego miesiąca.

8. Ciasteczka i pamięć lokalna

Używamy cookies niezbędnych do działania serwisu oraz opcjonalnych cookies marketingowych tylko po uzyskaniu zgody. Wyboru dokonujesz w banerze; możesz go zmienić przez link „Ustawienia cookies” w stopce.

Pamięć lokalna przechowuje preferencję motywu, historię rozmowy Mentora AI oraz techniczny znacznik wysłania atrybucji. Atrybucja wejścia obejmuje parametry kampanii (UTM, gclid) i adres odwiedzonej strony, bez danych osobowych, i jest niezbędna do rozliczenia źródła wejścia. Google Ads nie zapisuje marketingowych cookies ani nie otrzymuje danych konwersji przed zgodą.

9. Bezpieczeństwo

Chronimy Twoje dane wykorzystując połączenia szyfrowane (HTTPS/TLS), algorytm bcrypt o koszcie 12 dla haseł, skróty SHA-256 dla sesji i tokenów (w bazie zapisujemy ich skróty, a nie tekst jawny), ciasteczka z flagami HttpOnly i SameSite, jednorazowe, krótkotrwałe tokeny, zabezpieczenia przed atakami typu CSRF ograniczające żądania do tego samego źródła, limity zapytań oraz system audytu zgód.

Pamiętaj jednak, że ze względu na naturę internetu administrator nie jest w stanie zagwarantować absolutnego bezpieczeństwa transmisji i składowania danych.

10. Polityka wobec dzieci

Serwis jest przeznaczony dla profesjonalistów, dorosłych słuchaczy oraz uczestników ścieżki studenckiej, w tym osób w wieku 16-17 lat korzystających z niej za zgodą przedstawiciela ustawowego. Serwis nie jest przeznaczony dla osób poniżej 16. roku życia. Zasady przetwarzania danych ścieżki studenckiej opisano w sekcji 3.

11. Zmiany polityki prywatności

O istotnych zmianach niniejszego dokumentu poinformujemy w serwisie z co najmniej 7-dniowym wyprzedzeniem. Aktualna data wydania znajduje się na samej górze dokumentu.

12. Archiwum wersji

Aktualna wersja: 2026-09-18. Archiwalne wersje dokumentu są przechowywane dla celów informacyjnych i dowodowych; na żądanie można uzyskać kopię wcześniejszej wersji od administratora.