Dokument prawny

Polityka prywatności

Wersja 1.2 · obowiązuje od 1 sierpnia 2026 r.

1. Administrator danych

Administratorem danych osobowych jest BK Solutions, prowadzący działalność w zakresie edukacji w obszarze bezpieczeństwa aktywów cyfrowych. Kontakt we wszystkich sprawach dotyczących danych: bartosz@bksolutions.pl.

2. Jakie dane przetwarzamy i w jakim celu

Zakres przetwarzania zależy od tego, z czego korzystasz. Poniższa lista jest kompletna — nie przetwarzamy niczego ponad nią.

2.1. Lista premiery („Powiadom o premierze”)

  • adres e-mail — powiadomienie o premierze produktu i informacje z nią związane;
  • źródło zapisu (strona, z której się zapisujesz, oraz typ urządzenia: komputer/telefon) — ocena skuteczności kanałów informacji, bez profilowania osób;
  • skrócony, solony hash IP — ochrona formularza przed spamem; z hasha nie da się odtworzyć adresu IP i nie służy on profilowaniu.

2.2. Konto w platformie nauki

  • adres e-mail — logowanie bezhasłowe: wysyłamy jednorazowy link/kod ważny 15 minut;
  • logowanie Google/Apple (po włączeniu tej opcji) — po wybraniu dostawcy otrzymujemy podpisany token z adresem e-mail i informacją, czy został zweryfikowany. Nie zapisujemy profilu, imienia, identyfikatora konta dostawcy ani surowego tokenu. Apple może przekazać prywatny adres relay, jeśli wybierzesz ukrywanie e-maila;
  • sesje logowania — w bazie przechowujemy wyłącznie kryptograficzne skróty (SHA-256) tokenów; sesja konta jest ważna 30 dni;
  • postęp nauki i wyniki podejść (ukończone lekcje i zadania, wyniki quizów/egzaminów) — synchronizacja postępu między urządzeniami i historia nauki;
  • postęp w trybie gościa jest zapisywany wyłącznie w Twojej przeglądarce i trafia do nas dopiero po zalogowaniu (migracja na konto).

2.3. Demo bez konta (sesja anonimowa)

Wejście do wersji demo wymaga weryfikacji anty-botowej Cloudflare Turnstile. Tworzymy wtedy anonimową sesję techniczną (ważną 12 godzin), która nie zawiera adresu e-mail ani innych danych osobowych. Cloudflare może w ramach weryfikacji przetwarzać techniczne dane żądania (np. adres IP) zgodnie z własną polityką prywatności.

2.4. Zakupy (od uruchomienia sprzedaży)

Płatności obsługuje Stripe — dane płatnicze podajesz wyłącznie Stripe; my ich nie widzimy i nie przechowujemy. U nas pozostają: e-mail zamówienia, wybrany pakiet, status oraz identyfikatory transakcji i licencja. Kupione pliki PDF są personalizowane stopką licencyjną zawierającą Twój e-mail i numer zamówienia (znak wodny egzemplarza).

2.5. E-maile transakcyjne

Potwierdzenia zapisu na listę premiery, linki logowania i wiadomości związane z zamówieniem wysyłamy przez Resend — dostawca otrzymuje Twój adres wyłącznie w celu doręczenia wiadomości.

2.6. Analityka

Prowadzimy własną, pseudonimową analitykę produktową — wyłącznie w platformie nauki otwieranej w przeglądarce. Nie korzystamy z zewnętrznych narzędzi analitycznych ani z pikseli reklamowych: zdarzenia trafiają bezpośrednio do naszego API i naszej bazy danych, bez pośredników. Aplikacja mobilna nie wysyła żadnych zdarzeń.

Zapisujemy tylko zdarzenia z zamkniętej listy — m.in. rozpoczęcie i ukończenie lekcji, wysłanie quizu, ukończenie zadania interaktywnego oraz wyświetlenie i zamknięcie ekranu zakupu. Do każdego zdarzenia dołączamy rodzaj użytkownika (demo, sesja anonimowa, konto), moduł, źródło wejścia, typ urządzenia (komputer, telefon, tablet) i właściwości samego zdarzenia, na przykład wynik quizu w procentach. Zdarzenia spoza listy są odrzucane.

Nie zapisujemy Twojego adresu e-mail. Osobę zalogowaną oznaczamy pseudonimem wyliczonym ze skrótu kryptograficznego adresu, a gościa — losowym identyfikatorem wygenerowanym w Twojej przeglądarce (punkt 3). Nie tworzymy profili reklamowych, nie profilujemy Cię w sposób wywołujący skutki prawne i nie łączymy tych danych z żadnym zbiorem zewnętrznym.

Cel jest jeden: ulepszanie produktu. Chcemy wiedzieć, w którym miejscu ścieżki nauki pojawia się trudność — a nie kto konkretnie ją napotkał. Zdarzenia usuwamy po 180 dniach (punkt 6). Możesz w każdej chwili wnieść sprzeciw wobec tego przetwarzania, pisząc na bartosz@bksolutions.pl; wyłączymy wtedy zbieranie zdarzeń dla Twojego konta i usuniemy dotychczasowe.

3. Dane zapisywane w Twojej przeglądarce

Nie używamy cookies śledzących ani reklamowych. Lokalny magazyn przeglądarki (localStorage/sessionStorage) wykorzystujemy funkcjonalnie oraz — w platformie nauki — do pseudonimowej analityki produktowej opisanej w punkcie 2.6:

  • wybrany motyw (jasny/ciemny) i wybrany język,
  • token Twojej sesji nauki — utrzymanie zalogowania,
  • lokalny postęp gościa — Twój postęp w demo do czasu zalogowania,
  • techniczne znaczniki sesji (np. źródło wejścia) — poprawne działanie aplikacji,
  • identyfikator analityczny gościa — losowa wartość pozwalająca policzyć, ile osób korzysta z demo, bez ustalania, kim są (localStorage),
  • identyfikator bieżącej wizyty — łączy zdarzenia w jedną sesję przeglądania i znika po zamknięciu karty (sessionStorage).

Te wpisy pozostają na Twoim urządzeniu — usuniesz je, czyszcząc dane witryny w przeglądarce.

4. Podstawy prawne

  • zgoda (art. 6 ust. 1 lit. a RODO) — lista premiery;
  • umowa i działania na Twoje żądanie (art. 6 ust. 1 lit. b RODO) — konto, logowanie, synchronizacja postępu, zakup i dostarczenie treści;
  • uzasadniony interes (art. 6 ust. 1 lit. f RODO) — bezpieczeństwo usługi: ochrona anty-botowa, limity zapytań, solone hashe IP przeciw nadużyciom;
  • uzasadniony interes (art. 6 ust. 1 lit. f RODO) — pseudonimowa analityka produktowa (punkt 2.6): rozwój i poprawa jakości platformy nauki. Przetwarzamy tu minimum danych, nie budujemy profili reklamowych, a w każdej chwili możesz wnieść sprzeciw.

5. Odbiorcy danych

Korzystamy z podmiotów przetwarzających:

  • Cloudflare — hosting stron i API, baza danych, magazyn plików, ochrona anty-botowa (Turnstile);
  • Resend — wysyłka e-maili transakcyjnych;
  • Stripe — obsługa płatności (od uruchomienia sprzedaży);
  • Google (Google Identity Services) oraz Apple (Sign in with Apple) — wyłącznie po włączeniu tej opcji i wybraniu jej podczas logowania; dostawca potwierdza e-mail, a przeglądarka lub system operacyjny może przekazać mu techniczne dane żądania;
  • Google Fonts oraz cdnjs (Font Awesome) — czcionki i ikony ładowane z CDN; dostawca otrzymuje techniczne dane żądania (np. adres IP i identyfikator przeglądarki).

W ramach tych usług dane mogą być przetwarzane poza EOG — na podstawie mechanizmów przewidzianych w RODO (m.in. standardowych klauzul umownych dostawców). Nie sprzedajemy danych i nie udostępniamy ich podmiotom trzecim w celach marketingowych.

6. Jak długo przechowujemy dane

  • lista premiery — do premiery i do 12 miesięcy po niej, chyba że wcześniej wycofasz zgodę;
  • sesje logowania — 30 dni (anonimowe sesje demo: 12 godzin); wygasłe wpisy usuwa automatyczne, codzienne czyszczenie;
  • linki i kody logowania — 15 minut, jednorazowe; zużyte i wygasłe są usuwane automatycznie;
  • hashe użytych tokenów Google/Apple — tylko do wygaśnięcia tokenu dostawcy i krótkiej tolerancji zegara (zwykle około godziny); służą wyłącznie do zablokowania ponownego użycia;
  • linki pobrań plików — 15 minut, jednorazowe (z krótkim oknem na wznowienie pobierania);
  • konto i postęp nauki — dopóki korzystasz z platformy; na Twoje żądanie usuwamy konto wraz z postępem;
  • zdarzenia analityczne — 180 dni; starsze usuwa automatyczne, codzienne czyszczenie;
  • zamówienia i licencje — przez okres wymagany przepisami (m.in. podatkowymi i rachunkowymi).

7. Twoje prawa

Przysługuje Ci prawo do: dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie, wycofania zgody w dowolnym momencie (bez wpływu na zgodność z prawem przetwarzania sprzed wycofania) oraz wniesienia skargi do Prezesa UODO.

Osobną stronę poświęciliśmy usunięciu konta i danych — znajdziesz tam kroki żądania oraz dokładną listę tego, co usuwamy i co musimy zachować.

W sprawach dotyczących danych osobowych napisz na: bartosz@bksolutions.pl (temat: „RODO”).

8. Bezpieczeństwo

Tokeny sesji, linków logowania i pobrań oraz użyte tokeny Google/Apple przechowujemy wyłącznie jako skróty kryptograficzne (SHA-256), adresy IP w mechanizmach anty-spamowych — wyłącznie jako solone skróty, a transmisja jest szyfrowana (TLS). Podpis i ważność tokenu Google/Apple weryfikujemy kluczami publicznymi dostawcy. Dostęp do treści i danych konta jest weryfikowany przez serwer przy każdym żądaniu.

9. Zmiany polityki

Aktualna wersja dokumentu jest zawsze dostępna pod tym adresem. O istotnych zmianach poinformujemy zarejestrowanych użytkowników listy premiery.