Polityka prywatności

Wersja robocza 0.1 do weryfikacji prawnej, jeszcze nieobowiązująca. Kwestie otwarte oznaczono jako [DO POTWIERDZENIA].

Niniejsza Polityka prywatności wyjaśnia, jakie dane osobowe rodziców i dzieci zbiera Brotelo, w jakim celu je zbieramy, kto je otrzymuje, jak długo je przechowujemy i jakie prawa Ci przysługują. Dzieci mogą przeczytać krótką wersję napisaną specjalnie dla nich na naszej stronie „Prywatność dla dzieci”.

1 W skrócie

• Konta mają wyłącznie osoby pełnoletnie. Dzieci korzystają z profilu, który tworzy ich rodzic, z pseudonimem, wiekiem i gotowym awatarem.
• Dzieci nigdy nie podają nam adresu e-mail, zdjęcia, numeru telefonu ani swojej lokalizacji.
• Wykorzystujemy dane, aby prowadzić kursy, zapisywać postępy, wystawiać certyfikaty, przyjmować płatności i dbać o bezpieczeństwo Brotelo.
• Bez reklam, bez trackerów reklamowych, bez sprzedaży danych, bez czatu i bez publicznych profili.
• Nasze statystyki odwiedzin nie korzystają z plików cookies i nigdy nie działają w strefie dla dzieci.
• Możesz przeglądać, poprawiać, pobierać i usuwać swoje dane oraz dane swoich dzieci.

2 Kto odpowiada za Twoje dane

Administratorem Twoich danych osobowych jest TOPFED WEB S.R.L., spółka zarejestrowana w Republice Mołdawii, IDNO 1026023125543, z siedzibą pod adresem: s. Pepeni, r-nul Sîngerei, MD-6234, Republika Mołdawii. We wszystkich sprawach dotyczących niniejszej Polityki prywatności możesz pisać do nas na adres [email protected].

2.1 Przedstawiciel w Unii Europejskiej

Ponieważ nie mamy jednostki organizacyjnej w Unii Europejskiej, musimy wyznaczyć przedstawiciela w UE (art. 27 RODO). [DO POTWIERDZENIA: nazwa i dane kontaktowe przedstawiciela w UE.]

2.2 Przedstawiciel w Zjednoczonym Królestwie

[DO POTWIERDZENIA: jeśli Brotelo będzie oferowane w Zjednoczonym Królestwie, nazwa i dane kontaktowe przedstawiciela w Zjednoczonym Królestwie na podstawie art. 27 UK GDPR.]

2.3 Inspektor ochrony danych

[DO POTWIERDZENIA: czy należy wyznaczyć inspektora ochrony danych na podstawie art. 37 RODO lub mołdawskiej ustawy nr 195/2024; do tego czasu pisz na adres [email protected].]

3 Jakie dane zbieramy

3.1 Dane dotyczące Ciebie jako rodzica

• Dane konta: Twój adres e-mail i sposób logowania. Jeśli logujesz się przez Google, otrzymujemy identyfikatory przesyłane nam przez Google. [DO POTWIERDZENIA: jakie dane z profilu Google są przechowywane; zalecamy wyłącznie identyfikator konta i adres e-mail.] Twoim hasłem zarządza Firebase Authentication, usługa Google, i nigdy go nie widzimy.
• Dane zamówienia: Twoje imię i nazwisko, kraj, potwierdzenie, że masz ukończone 18 lat, kupowane kursy, ceny, podatki, waluta, data i numer zamówienia, status płatności oraz numer referencyjny transakcji nadany przez nasz bank. Nie otrzymujemy ani nie przechowujemy pełnego numeru Twojej karty. [DO POTWIERDZENIA: czy bank przekazuje nam zamaskowane dane karty, takie jak cztery ostatnie cyfry.]
• Zapisy Twoich wyborów: udzielone przez Ciebie zgody (profile dzieci, publiczne certyfikaty, newsletter), Twoja zgoda na natychmiastowe rozpoczęcie dostępu i przyjęcie przez Ciebie do wiadomości utraty prawa odstąpienia od umowy, Twoje odstąpienia od umowy i wnioski w ramach gwarancji, wraz z ich datami.
• Wiadomości: to, co do nas piszesz (pytania, reklamacje, zgłoszenia dotyczące bezpieczeństwa, żądania dotyczące Twoich praw), oraz nasze odpowiedzi.
• Newsletter i lista oczekujących: Twój adres e-mail, język oraz data i dowód udzielenia zgody i jej potwierdzenia (double opt-in).
• Dane techniczne: adres IP, typ przeglądarki i urządzenia, żądane strony oraz data i godzina, zapisywane w logach bezpieczeństwa naszych serwerów i Cloudflare.

3.2 Dane dotyczące Twojego dziecka

Przechowujemy wyłącznie to, co wprowadzasz, oraz to, co dziecko tworzy podczas nauki:

• Profil: pseudonim, wiek lub rok urodzenia oraz awatar wybrany z naszej gotowej listy.
• PIN: opcjonalny 4-cyfrowy kod PIN, przechowywany w postaci zabezpieczonej (zahaszowanej). [DO POTWIERDZENIA: sposób przechowywania kodu PIN.]
• Dane dotyczące nauki: kursy dostępne w profilu, ukończone slajdy, odpowiedzi na pytania sprawdzające i na pytania quizu końcowego, podejścia do quizów i wyniki oraz daty aktywności. [DO POTWIERDZENIA: czy odpowiedzi na pytania sprawdzające w pokazie slajdów są przechowywane.]
• Certyfikaty: imię i nazwisko w formie wybranej przez Ciebie do certyfikatu (domyślnie imię i inicjał nazwiska), kurs, data, kod certyfikatu oraz informacja, czy certyfikat został przez Ciebie udostępniony do publicznej weryfikacji.

3.3 Czego nigdy nie zbieramy od dzieci

• Żadnego adresu e-mail, numeru telefonu ani adresu pocztowego.
• Żadnych zdjęć, filmów, nagrań głosu ani jakichkolwiek przesyłanych plików.
• Żadnych wiadomości ani czatu.
• Żadnej lokalizacji.
• Żadnych identyfikatorów reklamowych, żadnego śledzenia w celach reklamowych i żadnych statystyk odwiedzin w strefie dla dzieci.

4 W jakim celu wykorzystujemy dane i na jakiej podstawie prawnej

[DO POTWIERDZENIA: podstawa prawna przetwarzania danych dzieci (zgoda rodzica, umowa z rodzicem lub prawnie uzasadnione interesy) oraz podstawa prowadzenia dokumentacji wymaganej przez prawo mołdawskie, ponieważ art. 6 ust. 1 lit. c RODO obejmuje wyłącznie obowiązki wynikające z prawa Unii lub prawa państwa członkowskiego.]

Nie wykorzystujemy żadnych danych do celów reklamowych ani do tworzenia profili marketingowych i nie podejmujemy decyzji, które opierają się wyłącznie na zautomatyzowanym przetwarzaniu i wywołują wobec Ciebie lub Twojego dziecka skutki prawne lub w podobny sposób istotnie na Ciebie lub Twoje dziecko wpływają. Jeżeli opieramy się na prawnie uzasadnionych interesach, możesz wnieść sprzeciw (punkt 9).

5 Dane dzieci i zgoda rodzica

Brotelo jest przeznaczone dla dzieci w wieku od 8 do 14 lat, ale konta mają wyłącznie osoby pełnoletnie, a dzieci nigdy nie rejestrują się samodzielnie.

Zgodnie z RODO, jeżeli usługa internetowa opiera się na zgodzie, dziecko, które nie osiągnęło wieku zgody cyfrowej, potrzebuje zgody osoby sprawującej władzę rodzicielską. Wiek ten wynosi od 13 do 16 lat, w zależności od kraju, na przykład 16 lat w Rumunii. Ponieważ wszystkie dzieci korzystające z Brotelo mają 14 lat lub mniej i nigdy nie rejestrują się samodzielnie, zawsze zwracamy się do rodzica, bez względu na wiek i kraj dziecka.

Tworząc profil dziecka, potwierdzasz, że jesteś jego rodzicem lub opiekunem albo że masz zgodę osoby sprawującej władzę rodzicielską, oraz wyrażasz zgodę na wykorzystywanie przez nas danych dziecka w sposób opisany w niniejszej Polityce prywatności. [DO POTWIERDZENIA: w jaki sposób podejmujemy rozsądne starania, aby sprawdzić, czy zgoda pochodzi od osoby sprawującej władzę rodzicielską (art. 8 ust. 2 RODO), oraz, jeśli obsługujemy Stany Zjednoczone, metoda uzyskania weryfikowalnej zgody rodzica zgodnie z COPPA.]

• Zbieramy jak najmniej danych: pseudonim zamiast imienia i nazwiska, wiek lub rok urodzenia zamiast daty urodzenia, gotowe awatary zamiast zdjęć.
• Jesteś na bieżąco: postępy i certyfikaty dziecka widzisz w panelu rodzica, a nasza strona „Prywatność dla dzieci” informuje Twoje dziecko, że masz wgląd w te informacje.
• Możesz zmienić zdanie: zgodę wycofujesz, usuwając profil dziecka, co powoduje usunięcie danych dziecka (punkt 8). Wycofanie zgody nie wpływa na przetwarzanie, którego dokonaliśmy wcześniej.
• Nigdy nie wykorzystujemy danych dzieci do celów marketingowych, reklamowych ani do profilowania i nigdy ich nie sprzedajemy.
• Jeśli dziecko zarejestrowało się samo: jeśli dowiemy się, że dziecko samodzielnie założyło konto, usuniemy to konto.

Ryzyko, jakie nasze przetwarzanie stwarza dla dzieci, oceniamy w ramach oceny skutków dla ochrony danych. [DO POTWIERDZENIA: przeprowadzenie oceny skutków dla ochrony danych (DPIA) przed uruchomieniem serwisu.]

6 Kto otrzymuje dane

Nie sprzedajemy danych osobowych. Udostępniamy je wyłącznie dostawcom usług, którzy przetwarzają je w naszym imieniu, zgodnie z naszymi poleceniami i na podstawie umowy (art. 28 RODO), oraz kilku niezależnym odbiorcom wymienionym poniżej.

[DO POTWIERDZENIA: podmiot będący stroną umowy oraz umowa powierzenia przetwarzania danych w przypadku każdego dostawcy.]

Niezależni odbiorcy, działający na podstawie własnych polityk prywatności:

• MAIB (Moldova Agroindbank), Republika Mołdawii, który przetwarza płatności kartą oraz dane karty wprowadzane przez Ciebie na jego stronie płatności. [DO POTWIERDZENIA: czy MAIB działa jako niezależny administrator, czy jako nasz podmiot przetwarzający.]
• Google, jeśli zdecydujesz się logować za pomocą konta Google, jako dostawca tego konta.
• Doradcy zawodowi, tacy jak prawnicy i księgowi, zobowiązani do zachowania poufności.
• Organy i sądy, wyłącznie wtedy, gdy wymagają tego przepisy prawa, lub w celu ochrony dziecka, któremu może grozić niebezpieczeństwo.

Jeśli nasze przedsiębiorstwo lub jego część zostaną kiedykolwiek sprzedane, nabywca może otrzymać dane niezbędne do dalszego świadczenia usługi, na zasadach określonych w niniejszej Polityce prywatności. Poinformowalibyśmy Cię o tym z wyprzedzeniem.

7 Międzynarodowe przekazywanie danych

Mamy siedzibę w Republice Mołdawii i stamtąd nasz zespół uzyskuje dostęp do danych. Komisja Europejska nie wydała decyzji stwierdzającej odpowiedni stopień ochrony w odniesieniu do Republiki Mołdawii. [DO POTWIERDZENIA: zabezpieczenia dotyczące dostępu z Mołdawii, zgodnie z wytycznymi Europejskiej Rady Ochrony Danych (EROD) 05/2021 w sprawie wzajemnego oddziaływania między art. 3 a rozdziałem V RODO.]

Nasze serwery znajdują się w Niemczech, a Brevo działa w UE. Cloudflare i Google mogą przetwarzać dane w Stanach Zjednoczonych. W przypadku tego przekazywania opieramy się na ramach ochrony danych UE-USA (EU-US Data Privacy Framework), jeśli dana spółka uzyskała certyfikację w ich ramach, a w pozostałych przypadkach na standardowych klauzulach umownych Komisji Europejskiej. W przypadku użytkowników w Zjednoczonym Królestwie opieramy się na brytyjskim rozszerzeniu tych ram lub na brytyjskim aneksie do tych klauzul. [DO POTWIERDZENIA: certyfikacja i zabezpieczenia każdego dostawcy na dzień publikacji.]

Płatności kartą przetwarza MAIB w Republice Mołdawii.

Możesz poprosić o kopię stosowanych przez nas zabezpieczeń, pisząc na adres [email protected].

8 Jak długo przechowujemy dane

Przechowujemy dane tylko tak długo, jak jest to nam potrzebne. Poniższe okresy są propozycjami. [DO POTWIERDZENIA: każdy z poniższych okresów, w świetle mołdawskiego prawa rachunkowego, unijnych przepisów o VAT i terminów przedawnienia.]

9 Twoje prawa

Masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii;
• sprostowania danych, które są nieprawidłowe lub niekompletne;
• usunięcia swoich danych;
• ograniczenia wykorzystywania przez nas swoich danych w niektórych przypadkach;
• otrzymania danych przekazanych nam przez Ciebie w powszechnie używanym formacie i przesłania ich do innego serwisu (przenoszenie danych);
• sprzeciwu wobec wykorzystywania swoich danych na podstawie prawnie uzasadnionych interesów, a w każdej chwili wobec marketingu bezpośredniego;
• wycofania zgody w dowolnym momencie, bez wpływu na przetwarzanie dokonane wcześniej;
• niepodlegania decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu; nie podejmujemy takich decyzji.

Z tych praw korzystasz w imieniu swojego dziecka. Gdy dziecko jest wystarczająco dojrzałe, aby to zrozumieć, uwzględniamy jego zdanie i dobro.

9.1 Jak skorzystać ze swoich praw

W panelu rodzica możesz zmieniać lub usuwać profile dzieci, włączać lub wyłączać publiczną weryfikację certyfikatu, zmieniać ustawienia e-maili i zamknąć swoje konto. [DO POTWIERDZENIA: funkcje samoobsługowe dostępne od uruchomienia serwisu, w tym pobieranie danych.]

Możesz również napisać na adres [email protected] z adresu e-mail przypisanego do Twojego konta. Możemy poprosić Cię o potwierdzenie tożsamości. Odpowiadamy w ciągu jednego miesiąca. W przypadku złożonych lub licznych żądań możemy przedłużyć ten termin o kolejne dwa miesiące, informując Cię o przyczynach. Korzystanie z praw jest bezpłatne, chyba że żądanie jest ewidentnie nieuzasadnione lub nadmierne.

10 Skargi do organu nadzorczego

Możesz wnieść skargę do organu ochrony danych:

• w Republice Mołdawii do Krajowego Centrum Ochrony Danych Osobowych (NCPDP), www.datepersonale.md;
• w Unii Europejskiej do organu państwa, w którym mieszkasz, pracujesz lub w którym doszło do problemu; Europejska Rada Ochrony Danych publikuje pełną listę tych organów na stronie edpb.europa.eu; w Rumunii jest to ANSPDCP, www.dataprotection.ro;
• w Zjednoczonym Królestwie do Information Commissioner's Office (ICO), ico.org.uk.

Będziemy wdzięczni za możliwość zajęcia się Twoją sprawą w pierwszej kolejności, dlatego prosimy o kontakt pod adresem [email protected].

11 Bezpieczeństwo

Chronimy dane za pomocą środków technicznych i organizacyjnych dostosowanych do ryzyka, zwłaszcza w przypadku danych dzieci:

• wszystkie połączenia z Brotelo są szyfrowane (HTTPS);
• nasze serwery znajdują się w Niemczech, a dostęp mają wyłącznie osoby, które go potrzebują;
• hasłami zarządza Firebase Authentication i nigdy nie są one przez nas przechowywane;
• kody PIN są przechowywane w postaci zabezpieczonej (zahaszowanej);
• danymi kart zarządza bank, nigdy my;
• na bieżąco aktualizujemy nasze systemy i regularnie wykonujemy kopie zapasowe.

[DO POTWIERDZENIA: środki techniczne i organizacyjne, zgodnie z dokumentacją w DPIA i w rejestrze czynności przetwarzania.]

W razie naruszenia ochrony danych osobowych zgłaszamy je właściwemu organowi w ciągu 72 godzin, jeżeli wymagają tego przepisy prawa, a Ciebie zawiadamiamy bez zbędnej zwłoki, jeżeli naruszenie może powodować wysokie ryzyko dla Ciebie lub Twojego dziecka.

12 E-maile marketingowe

Newsletter i informacje dla osób z listy oczekujących wysyłamy wyłącznie rodzicom, którzy o nie poproszą. Do zapisu służy osobne pole wyboru, które nigdy nie jest wstępnie zaznaczone, a zapis potwierdzasz, klikając link, który Ci wysyłamy (double opt-in). Nigdy nie wysyłamy e-maili marketingowych dzieciom. Każdy e-mail zawiera link do wypisania się, a wypisanie się nie wpływa na Twoje konto ani na e-maile serwisowe. [DO POTWIERDZENIA: że śledzenie otwarć i kliknięć jest wyłączone w Brevo.]

13 Pliki cookies i podobne technologie

Na Twoim urządzeniu przechowujemy wyłącznie to, czego Brotelo potrzebuje do działania. Nie używamy analitycznych ani reklamowych plików cookies. Pełny wykaz znajdziesz w naszej Polityce cookies.

14 Użytkownicy w poszczególnych krajach

14.1 Zjednoczone Królestwo

Jeśli mieszkasz w Zjednoczonym Królestwie, zastosowanie mają UK GDPR i Data Protection Act 2018. Stosujemy kodeks ICO Age Appropriate Design Code (Children's Code): domyślnie wysoki poziom ochrony prywatności, minimalizacja danych, brak profilowania, brak zachęt do udostępniania większej ilości danych oraz informacje o prywatności zrozumiałe dla dzieci.

14.2 Stany Zjednoczone

[DO POTWIERDZENIA: czy Brotelo będzie oferowane w Stanach Zjednoczonych od uruchomienia serwisu. Jeśli tak, przed uruchomieniem konieczne jest zapewnienie zgodności z COPPA: bezpośrednie powiadomienie rodziców, weryfikowalna zgoda rodzica przed zebraniem danych osobowych od dzieci poniżej 13 lat, pisemna polityka przechowywania danych, program bezpieczeństwa informacji oraz informacja online zawierająca numer telefonu.] Rodzice w Stanach Zjednoczonych mogą przeglądać dane osobowe swojego dziecka, zażądać ich usunięcia i odmówić zgody na ich dalsze zbieranie lub wykorzystywanie. Nie prosimy dziecka o więcej informacji, niż jest to rozsądnie konieczne do udziału w danej aktywności.

14.3 Republika Mołdawii

Przetwarzanie przez nas danych podlega również ustawie nr 195/2024 Republiki Mołdawii o ochronie danych osobowych. [DO POTWIERDZENIA: mające zastosowanie przepisy, data ich wejścia w życie oraz ewentualne obowiązki rejestracyjne lub obowiązki zgłoszenia wobec NCPDP.]

15 Zmiany niniejszej Polityki prywatności

Możemy aktualizować niniejszą Politykę prywatności. Data na górze strony wskazuje aktualną wersję. Przed wejściem w życie istotnych zmian poinformujemy Cię o nich e-mailem, a jeśli zmiana będzie tego wymagać, ponownie poprosimy Cię o zgodę.

16 Kontakt

TOPFED WEB S.R.L., s. Pepeni, r-nul Sîngerei, MD-6234, Republika Mołdawii. E-mail: [email protected].