Niniejsza Polityka Prywatności określa zasady przetwarzania i ochrony danych osobowych przekazanych przez Użytkowników w związku z korzystaniem z usług dostępnych w serwisie Matekoty (www.matekoty.pl).

Administratorem danych osobowych jest Jakub Mendel – osoba fizyczna nieprowadząca działalności gospodarczej (dalej: „Administrator”), z adresem korespondencyjnym: Kazanie 20, 87-890 Lubraniec, Polska.

Kontakt w sprawie danych osobowych: kontakt@matekoty.pl, telefon: 793 866 018 (preferowany kontakt e‑mail).

Administrator dokłada wszelkich starań, aby zapewnić bezpieczeństwo i poufność danych osobowych przetwarzanych w związku ze świadczeniem usług.

§1. Podstawa prawna przetwarzania danych

Administrator przetwarza dane osobowe na podstawie:

1. Art. 6 ust. 1 lit. b RODO – przetwarzanie jest niezbędne do wykonania umowy o świadczenie usług (np. konto, dostęp do kursów).
2. Art. 6 ust. 1 lit. a RODO – zgoda osoby, której dane dotyczą (np. na marketing, newsletter).
3. Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes Administratora (np. zabezpieczenie przed nadużyciami, analiza statystyk, dochodzenie roszczeń).
4. Art. 6 ust. 1 lit. c RODO – obowiązek prawny (np. przepisy podatkowe, rachunkowe – wystawienie faktury).

W przypadku podstawy prawnej z lit. f RODO – Użytkownik ma prawo wniesienia sprzeciwu (art. 21 RODO).

§2. Zakres zbieranych danych

Administrator przetwarza następujące kategorie danych osobowych:

1. Dane rejestracyjne: adres e-mail (identyfikator konta).
2. Dane uwierzytelniające: hasło (przechowywane w formie zaszyfrowanej / hash – Supabase Auth).
3. Dane dotyczące aktywności w serwisie: postępy w nauce, historia przeglądanych lekcji, wyniki rozwiązanych zadań – podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO) i uzasadniony interes (personalizacja doświadczenia).
4. Dane techniczne / logi: adres IP, typ przeglądarki, system operacyjny, data i godzina dostępu – podstawa: uzasadniony interes (art. 6 ust. 1 lit. f RODO) polegający na zapewnieniu bezpieczeństwa i wykrywaniu nadużyć.
5. Dane transakcyjne: historia zakupów, kwoty, daty płatności – podstawa: wykonanie umowy i obowiązek prawny (przepisy podatkowe).
6. Dane do faktury (opcjonalnie, jeśli Użytkownik zgłosi potrzebę): imię, nazwisko, adres, NIP – podstawa: obowiązek prawny (ustawa o VAT).
7. Pliki cookies: szczegóły w §7.

Dobrowolność podania danych: Podanie danych jest dobrowolne, ale niezbędne do korzystania z funkcjonalności Serwisu (konto, dostęp do kursów). Niepodanie danych uniemożliwi świadczenie usług.

§3. Cele przetwarzania danych

Dane osobowe przetwarzane są w następujących celach (z wskazaniem podstawy prawnej):

§4. Okres przechowywania danych

Dane osobowe przechowywane są przez następujące okresy:

1. Dane konta i dostępu do usług: przez czas aktywnego konta oraz przez okres przedawnienia roszczeń (6 lat od końca roku, w którym powstało roszczenie – art. 118 Kodeksu cywilnego).
2. Dane do faktur: 5 lat od końca roku podatkowego, w którym upłynął termin płatności podatku (przepisy podatkowe i rachunkowe).
3. Dane marketingowe (zgoda): do momentu cofnięcia zgody lub usunięcia konta.
4. Logi i dane techniczne (bezpieczeństwo): do 12 miesięcy od zdarzenia (w celach zabezpieczenia przed nadużyciami).
5. Po upływie wskazanych okresów: dane są usuwane lub anonimizowane (w sposób uniemożliwiający identyfikację).

Użytkownik może zażądać wcześniejszego usunięcia danych, o ile nie ma obowiązku ich przechowywania (np. przepisy podatkowe) – patrz §6.

§5. Odbiorcy danych osobowych (powierzenie / udostępnienie)

Dane osobowe mogą być przekazywane następującym kategoriom odbiorców:

1. Podmioty przetwarzające – powierzenie (art. 28 RODO):
   • Supabase (hostingodawca bazy danych i uwierzytelniania) – z siedzibą w USA (transfer na podstawie klauzul standardowych UE lub równoważnych zabezpieczeń).
   • Operator płatności (HotPay lub inny) – w celu obsługi transakcji.
   • Dostawca usług e-mail / mailingowych (jeśli korzystasz z zewnętrznego narzędzia do newslettera).
2. Podmioty uprawnione z mocy prawa: organy państwowe (np. sądy, policja, UOD, organy podatkowe) – na podstawie obowiązujących przepisów.
3. Administrator NIE sprzedaje ani nie udostępnia danych osobowych w celach marketingowych podmiotom trzecim.

Transfer danych poza EOG: W przypadku korzystania z Supabase (lub innego podmiotu spoza Europejskiego Obszaru Gospodarczego) – transfer odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską lub innych mechanizmów zgodnych z RODO (art. 46).

§6. Prawa osoby, której dane dotyczą (art. 15–22 RODO)

Użytkownik ma następujące prawa (z zastrzeżeniem wyjątków przewidzianych w RODO):

1. Prawo dostępu (art. 15) – otrzymania kopii przetwarzanych danych osobowych.
2. Prawo do sprostowania (art. 16) – poprawienia nieprawidłowych lub niekompletnych danych.
3. Prawo do usunięcia („prawo do bycia zapomnianym”, art. 17) – żądania usunięcia danych, jeśli:
   • dane nie są już niezbędne do celów, dla których zostały zebrane,
   • wycofano zgodę (jeśli była podstawą przetwarzania),
   • wniesiono sprzeciw (art. 21),
   • dane przetwarzane są niezgodnie z prawem.
   Prawo to nie przysługuje, jeśli przetwarzanie jest niezbędne (np. obowiązek prawny – faktury podatkowe).
4. Prawo do ograniczenia przetwarzania (art. 18) – „zamrożenia” przetwarzania w określonych przypadkach (np. spór o prawidłowość danych).
5. Prawo do przenoszenia danych (art. 20) – otrzymania danych w ustrukturyzowanym formacie (CSV, JSON) i przekazania ich innemu administratorowi (jeśli podstawą był art. 6 ust. 1 lit. a lub b).
6. Prawo sprzeciwu (art. 21) – wniesienia sprzeciwu wobec przetwarzania na podstawie art. 6 ust. 1 lit. f (uzasadniony interes). Administrator zaprzestanie przetwarzania, chyba że wykaże istnienie ważnych prawnie uzasadnionych podstaw.
7. Prawo do cofnięcia zgody – w przypadku przetwarzania na podstawie art. 6 ust. 1 lit. a (np. marketing). Cofnięcie zgody nie wpływa na zgodność przetwarzania przed jej cofnięciem.
8. Prawo do wniesienia skargi do organu nadzorczego – Prezes Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl).

Jak skorzystać z praw: Wyślij wniosek na adres kontakt@matekoty.pl, podając swoje dane identyfikacyjne (e-mail konta) i wskazując, z którego prawa chcesz skorzystać. Administrator odpowie w terminie do 1 miesiąca (art. 12 ust. 3 RODO).

§7. Cookies i technologie śledzące

1. Pliki cookies to niewielkie pliki tekstowe przechowywane na urządzeniu Użytkownika w celu umożliwienia działania serwisu i zapamiętania preferencji.
2. Rodzaje cookies używanych przez Serwis:
   • Niezbędne (sesja, uwierzytelnianie): podstawa prawna: art. 6 ust. 1 lit. b i f RODO – wykonanie umowy i zapewnienie funkcjonalności. Nie wymagają zgody (art. 173 ust. 3 Prawa telekomunikacyjnego).
   • Funkcjonalne / preferencje: zapamiętywanie ustawień (np. język, postępy w kursie) – podstawa: uzasadniony interes (art. 6 ust. 1 lit. f).
   • Analityczne / statystyczne: np. Google Analytics (lub inna platforma analityczna) – wymagana zgoda (lub anonimizacja IP).
   • Marketingowe: jeśli Administrator korzysta z remarketingu / reklam – wymagana zgoda (art. 173 Prawa telekomunikacyjnego).
3. Zarządzanie cookies: Użytkownik może w każdej chwili zmienić ustawienia cookies w swojej przeglądarce (blokowanie, usuwanie). Wyłączenie cookies niezbędnych może spowodować ograniczenie funkcjonalności Serwisu (np. brak możliwości zalogowania).
4. Okres przechowywania cookies: od zakończenia sesji (cookies sesyjne) do maksymalnie 24 miesięcy (cookies trwałe – analityka, preferencje).

Jeśli używasz cookies analitycznych / marketingowych – rozważ implementację zgody (cookie banner z opcją wyboru kategorii).

§8. Bezpieczeństwo danych

1. Administrator stosuje organizacyjne i techniczne środki bezpieczeństwa zgodnie z art. 32 RODO:
   • Szyfrowanie połączeń (HTTPS / TLS).
   • Hasła przechowywane w formie hash (bcrypt / scrypt – Supabase Auth).
   • Kontrola dostępu – tylko upoważnione osoby mają dostęp do danych osobowych.
   • Regularne kopie zapasowe (backup) przechowywane w sposób zabezpieczony.
   • Monitoring bezpieczeństwa i aktualizacje oprogramowania.
2. W przypadku naruszenia ochrony danych osobowych (data breach) – Administrator dokona zgłoszenia do UODO (w terminie do 72 h, jeśli naruszenie stwarza ryzyko dla praw i wolności osób – art. 33 RODO) oraz powiadomi osoby, których dane dotyczą (jeśli wysokie ryzyko – art. 34 RODO).

§9. Marketing

1. Administrator może wysyłać Użytkownikowi informacje handlowe (newsletter, promocje) wyłącznie po uzyskaniu jego zgody (art. 10 ustawy o świadczeniu usług drogą elektroniczną).
2. Jak wyrazić zgodę: poprzez zaznaczenie odpowiedniego checkboxa podczas rejestracji lub w ustawieniach konta.
3. Wycofanie zgody: w każdej chwili – kliknięcie linku „wypisz się” w wiadomości e-mail lub zmiana ustawień w koncie. Wycofanie zgody nie wpływa na legalność przetwarzania przed jej wycofaniem.
4. Rezygnacja z newslettera nie wpływa na możliwość korzystania z usług edukacyjnych (konto, kursy).

§10. Zmiany w Polityce Prywatności

1. Administrator zastrzega sobie prawo do zmiany Polityki Prywatności z ważnych powodów (zmiany przepisów, rozszerzenie funkcjonalności, zmiany technologiczne).
2. O istotnych zmianach Użytkownicy zostaną poinformowani za pośrednictwem serwisu (komunikat na stronie głównej) lub e-mailem – z co najmniej 7-dniowym wyprzedzeniem.
3. Dalsze korzystanie z Serwisu po wejściu w życie zmian oznacza akceptację nowej Polityki Prywatności. Jeśli Użytkownik nie zgadza się ze zmianami – ma prawo usunąć konto (§6).
4. Archiwalne wersje Polityki Prywatności są dostępne na żądanie.

§11. Zautomatyzowane podejmowanie decyzji i profilowanie

Administrator nie stosuje zautomatyzowanego podejmowania decyzji ani profilowania wywołujących skutki prawne lub w podobny sposób istotnie wpływających na Użytkownika (art. 22 RODO).

Personalizacja doświadczenia (np. sugerowane lekcje na podstawie postępów) odbywa się wyłącznie w celach użytkowych i nie wywołuje skutków prawnych.