§ 1. Postanowienia ogólne i rola DPA

Polityka opisuje zasady przetwarzania danych osobowych w serwisie LekcjeRazem.pl.

Należy rozróżnić dwie sytuacje przetwarzania danych:

1. Dane Użytkownika (Ciebie): Gdy zakładasz konto lub korzystasz z Serwisu, my jesteśmy Administratorem Twoich danych. Zasady te opisuje niniejsza Polityka Prywatności.
2. Dane uczniów (wprowadzane przez Ciebie): Jeśli jesteś Nauczycielem i wprowadzasz dane osób trzecich (uczniów), działasz jako ich Administrator. My przetwarzamy te dane wyłącznie w Twoim imieniu. Zasady tego powierzenia reguluje Umowa Powierzenia Przetwarzania Danych (DPA), stanowiąca integralną część Regulaminu.

Przetwarzamy dane zgodnie z RODO oraz właściwymi przepisami prawa krajowego.

§ 2. Administrator danych i kontakt

Administrator: AMKBIT Grzegorz Klekiel (serwis: LekcjeRazem.pl), ul. Mechaniczna 5s/2, 67-200 Głogów.

Kontakt w sprawach prywatności: tel. +48 455 405 228, e-mail: firma@amkbit.pl.

W sprawach ochrony danych możesz kontaktować się ww. kanałami. Odpowiemy bez zbędnej zwłoki.

§ 3. Zakres przetwarzanych danych

1. Dane konta (jeśli zakładasz Konto): imię, nazwisko (lub nick), adres e-mail, hasło (zahashowane), opcjonalnie telefon/awatar.
2. Dane powierzone (uczniów): przetwarzane wyłącznie w celu realizacji usługi zgodnie z DPA zawartym w Regulaminie (nie są wykorzystywane do celów własnych Administratora).
3. Dane sesji tablicy: ID pokoju/sesji, rola (właściciel/uczestnik), pseudonim, czas rozpoczęcia i zakończenia, zaproszenia, ustawienia.
4. Treści tworzone na tablicy: pociągnięcia pióra, kształty, wklejone obrazy/plik(i), adnotacje, załączniki, historia zmian; czat tekstowy związany z sesją.
5. Audio/Wideo (jeśli używasz): strumienie z kamery/mikrofonu przesyłane w czasie rzeczywistym (WebRTC). Nie utrwalamy ich, chyba że wyraźnie włączysz nagrywanie i wyrazisz zgodę lub wymaga tego funkcja.
6. Dane techniczne i logi: adres IP, znacznik czasu, identyfikatory sesji/urządzenia, typ i wersja przeglądarki, system operacyjny, ustawienia języka, parametry wydajnościowe, zdarzenia błędów.
7. Kontakt i wsparcie: treść zapytań, e-maile, zrzuty ekranu przesłane do pomocy technicznej.
8. Rozliczenia (wyłącznie gdy korzystasz z płatnych funkcji): dane płatności przekazywane operatorowi płatności, identyfikatory transakcji, faktury (zakres zgodny z przepisami podatkowymi).

§ 4. Cele i podstawy prawne

1. Świadczenie usług serwisu i tablicy (utworzenie/obsługa konta, prowadzenie sesji, udostępnienie funkcji, wsparcie) — art. 6 ust. 1 lit. b RODO.
2. Bezpieczeństwo i nadużycia (zapewnienie integralności usług, wykrywanie nieprawidłowości, ochrona przed spamem i atakami) — art. 6 ust. 1 lit. f RODO.
3. Analityka i rozwój (statystyki użycia, poprawa wydajności i UX, diagnostyka błędów) — art. 6 ust. 1 lit. f RODO.
4. Komunikacja (odpowiedzi na zgłoszenia, powiadomienia o zmianach) — art. 6 ust. 1 lit. f RODO.
5. Rozliczenia i księgowość (gdy używasz funkcji płatnych) — art. 6 ust. 1 lit. c RODO.
6. Marketing własny (np. informacje o nowych funkcjach) — art. 6 ust. 1 lit. f RODO; gdy wymagane, na podstawie art. 6 ust. 1 lit. a RODO (zgoda).
7. Zgody (np. na nagrywanie sesji A/V, cookies marketingowe) — art. 6 ust. 1 lit. a RODO; zgoda może być cofnięta w każdym czasie.
8. Roszczenia i obrona praw — art. 6 ust. 1 lit. f RODO.

§ 5. Cookies i podobne technologie

1. Niezbędne — działanie i bezpieczeństwo serwisu (sesja, autoryzacja, preferencje). Bez nich korzystanie z kluczowych funkcji może być niemożliwe.
2. Funkcjonalne — zapamiętywanie ustawień (np. kamera/mikrofon, układ tablicy).
3. Statystyczne/wydajnościowe — anonimowe metryki użycia i diagnostyka.
4. Marketingowe/personalizacyjne — wyłącznie za Twoją zgodą.

Możesz zarządzać zgodami w banerze cookies i ustawieniach przeglądarki. Szczegóły zawiera Polityka cookies.

§ 6. Odbiorcy danych i transfery

Możemy powierzać dane podmiotom przetwarzającym je w naszym imieniu: dostawcom hostingu i chmury, usług czasu rzeczywistego (np. infrastruktura WebRTC, STUN/TURN), systemom analitycznym, wsparciu IT, dostawcom komunikacji e-mail/push, operatorom płatności (dla funkcji płatnych). Takie podmioty przetwarzają dane na podstawie umów powierzenia i zgodnie z naszymi instrukcjami.

W przypadku przekazywania danych poza EOG stosujemy odpowiednie zabezpieczenia, takie jak standardowe klauzule umowne (SCC). Informacje o stosowanych zabezpieczeniach udostępnimy na żądanie.

§ 7. Okres przechowywania danych

• Konto i podstawowe dane: przez czas trwania umowy (posiadania konta) — do usunięcia konta lub skutecznego sprzeciwu, jeśli ma zastosowanie.
• Treści z tablicy i czat: przez czas utrzymania pokoju/sesji przez jego właściciela lub do ręcznego usunięcia; kopie zapasowe — przez okres niezbędny do zapewnienia ciągłości działania.
• Logi techniczne i bezpieczeństwa: przez okres niezbędny do bezpieczeństwa i dochodzenia roszczeń, zgodnie z uzasadnionym interesem.
• Rozliczenia/księgowość: przez czas wymagany przepisami prawa.

§ 8. Prawa osób, których dane dotyczą

1. Dostęp do danych i uzyskanie kopii, w tym informacji o przetwarzaniu.
2. Sprostowanie lub uzupełnienie danych.
3. Usunięcie danych („prawo do bycia zapomnianym") w przypadkach przewidzianych prawem.
4. Ograniczenie przetwarzania w przypadkach z art. 18 RODO.
5. Przenoszenie danych (gdy podstawą jest umowa lub zgoda i przetwarzanie jest zautomatyzowane).
6. Sprzeciw wobec przetwarzania opartego na uzasadnionym interesie (w tym wobec marketingu bezpośredniego — w dowolnym momencie).
7. Cofnięcie zgody w każdym czasie (bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia).
8. Skarga do organu nadzorczego: Prezes UODO (uodo.gov.pl).

Realizację praw ułatwiamy także w ustawieniach konta (jeśli dostępne) lub poprzez kontakt wskazany w § 13.

§ 9. Bezpieczeństwo informacji

• Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka (m.in. szyfrowanie transmisji, kontrola dostępu, logowanie zdarzeń, kopie zapasowe).
• Dbaj o bezpieczeństwo po swojej stronie: silne hasło, wylogowanie po sesji, aktualne oprogramowanie, ostrożność na współdzielonych urządzeniach.
• Incydenty bezpieczeństwa zgłaszaj kanałami kontaktu wskazanymi w Serwisie.

§ 10. Wideopołączenia i treści z tablicy

1. Transmisja A/V: połączenia audio/wideo realizujemy w oparciu o technologię czasu rzeczywistego (np. WebRTC). Strumienie są przetwarzane ulotnie i co do zasady nie są utrwalane przez nas, chyba że włączysz nagrywanie i wyrazisz zgodę.
2. Nagrywanie: jeśli funkcja jest dostępna i włączona, poinformujemy uczestników o nagraniu. Podstawą przetwarzania jest zgoda lub inna właściwa podstawa prawna.
3. Udostępnione pliki i rysunki: treści na tablicy widzą uprawnieni uczestnicy pokoju. Możesz je usuwać lub eksportować, o ile pozwalają na to funkcje serwisu.

§ 11. Zautomatyzowane decyzje i profilowanie

Możemy stosować ograniczone profilowanie (np. segmentację według sposobu korzystania), aby dopasować komunikaty o nowych funkcjach lub usprawnić onboarding. Profilowanie nie wywołuje skutków prawnych ani w podobny sposób istotnie Cię nie dotyka. Możesz wnieść sprzeciw wobec marketingu bezpośredniego lub wycofać zgodę, jeśli jest podstawą przetwarzania.

§ 12. Zmiany Polityki

1. Treść Polityki może ulegać zmianom z ważnych przyczyn (m.in. zmiany prawa, bezpieczeństwo, rozwój serwisu).
2. O zmianach poinformujemy z wyprzedzeniem, nie później niż 7 dni przed wejściem w życie, poprzez publikację nowej wersji w Serwisie (a w razie potrzeby także komunikatem e-mail).

§ 13. Kontakt

§ 14. Integracja z Facebook / Messenger

Sekcja dotyczy Nauczycieli (korepetytorów), którzy w panelu LekcjeRazem łączą swoją stronę Facebook (fanpage) z naszym Serwisem w celu odbierania wiadomości od uczniów przez Messenger.

1. Role w przetwarzaniu danych

• Meta Platforms Ireland Ltd. — administrator pierwotny danych użytkowników Facebook/Messenger (w zakresie kont, profili, wiadomości na platformie Meta).
• Nauczyciel — administrator danych swoich uczniów w zakresie korespondencji prowadzonej przez Messengera w jego panelu w LekcjeRazem.
• AMKBIT Grzegorz Klekiel (Serwis LekcjeRazem.pl) — procesor (podmiot przetwarzający) działający na zlecenie Nauczyciela. Powierzenie reguluje DPA będące częścią Regulaminu.

2. Zakres pobieranych danych z Messengera

W ramach integracji pobieramy z API Facebooka / Messengera następujące dane uczniów piszących do strony Nauczyciela:

• Identyfikator PSID (Page-Scoped ID) — unikalny numer w obrębie strony Nauczyciela, nie pozwala na identyfikację profilu poza Messengerem.
• Imię i nazwisko oraz zdjęcie profilowe — o ile uczeń ma je publiczne lub udostępnione stronie.
• Treść wiadomości tekstowych wysłanych do strony Nauczyciela.
• Załączniki (zdjęcia, pliki, naklejki, GIF-y, lokalizacja, wiadomości głosowe) wysyłane do strony.
• Metadane wiadomości: znacznik czasu, kierunek (od ucznia / od Nauczyciela), status doręczenia i odczytu, identyfikator wątku rozmowy.
• Reakcje i postbacks (kliknięcia w przyciski w wiadomościach), jeśli wystąpią.

Nie pobieramy danych ucznia spoza wątku rozmowy z Nauczycielem (nie czytamy listy znajomych, postów, prywatnych konwersacji z innymi osobami itp.).

3. Cele i podstawy prawne

1. Umożliwienie prowadzenia komunikacji edukacyjnej (uczeń ↔ Nauczyciel) w panelu LekcjeRazem — art. 6 ust. 1 lit. b RODO (wykonanie umowy z Nauczycielem) oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes ucznia w kontakcie z korepetytorem).
2. Archiwizacja historii rozmów i materiałów dydaktycznych (zdjęcia zadań przesyłane przez ucznia) na potrzeby procesu nauczania — art. 6 ust. 1 lit. f RODO.
3. Wyświetlanie zdjęć z Messengera w innych modułach Serwisu (np. na tablicy interaktywnej) jako materiałów do omówienia podczas lekcji — art. 6 ust. 1 lit. f RODO.
4. Bezpieczeństwo i zgodność z Platform Terms Mety (weryfikacja podpisu webhooka, logowanie zdarzeń) — art. 6 ust. 1 lit. f RODO.

4. Sposób pobierania danych

Dane trafiają do Serwisu na dwa sposoby:

• Webhook Messenger Platform — Meta wysyła do naszego endpointu (https://tablica.lekcjerazem.pl/moduly/facebook_messenger/webhook.php) zdarzenia w czasie rzeczywistym, gdy uczeń napisze do strony Nauczyciela.
• Graph API Mety — okresowa synchronizacja (cron) pobiera listę rozmów i wiadomości aby uzupełnić ewentualne braki spowodowane czasowymi błędami webhooka.

5. Okres przechowywania

• Wiadomości, załączniki i informacje o uczniu przechowujemy tak długo, jak długo Nauczyciel zachowuje powiązanie strony FB ze swoim kontem w LekcjeRazem.
• Po odłączeniu strony FB przez Nauczyciela lub po usunięciu jego konta — dane zostają usunięte z naszych systemów w ciągu 30 dni (z wyłączeniem kopii zapasowych, których cykl rotacji może być dłuższy).
• Uczeń może w każdej chwili zażądać usunięcia swoich danych — patrz pkt 7 poniżej.

6. Odbiorcy danych

Dane z Messengera nie są udostępniane osobom trzecim poza:

• Meta Platforms — w zakresie wynikającym z obsługi platformy Messenger (komunikacja zwrotna, doręczenie odpowiedzi);
• dostawcami hostingu i infrastruktury, na których pracuje Serwis (w zakresie technicznym niezbędnym do działania);
• Nauczycielem, do którego uczeń pisze (jest naturalnym adresatem wiadomości).

7. Prawa ucznia i sposób usunięcia danych

Uczniowi przysługują wszystkie prawa z § 8 niniejszej Polityki. W szczególności, w celu usunięcia danych zgromadzonych przez integrację Messenger, uczeń może:

1. Napisać do swojego Nauczyciela bezpośrednio przez Messengera z prośbą o usunięcie konwersacji — Nauczyciel ma narzędzie do usunięcia rozmowy w panelu.
2. Wysłać żądanie usunięcia danych na adres firma@amkbit.pl z podaniem imienia, nazwiska i nazwy strony Nauczyciela, do której pisał. Dane zostaną usunięte w ciągu 30 dni.
3. Skorzystać z formularza usunięcia danych Meta: facebook.com/help/contact/507739850846588.

8. Zgodność z politykami Mety

Integracja działa w zgodzie z Meta Platform Terms oraz Facebook Data Processing Terms. Nie wykorzystujemy danych z Messengera do celów marketingowych, sprzedaży, profilowania reklamowego ani odsprzedaży podmiotom trzecim.

§ 15. Integracja z Google (Drive, Calendar, People)

Sekcja dotyczy Nauczycieli, którzy w panelu LekcjeRazem.pl opcjonalnie łączą swoje konto Google w celu korzystania z funkcji tablicy interaktywnej i synchronizacji kalendarza.

1. Role w przetwarzaniu danych

• Google LLC — administrator danych użytkowników Google (konta, pliki Drive, zdarzenia Calendar).
• Nauczyciel — decyduje o połączeniu konta Google z Serwisem oraz o zakresie udostępnianych danych.
• AMKBIT Grzegorz Klekiel (Serwis LekcjeRazem.pl) — procesor działający na zlecenie Nauczyciela w zakresie danych pobieranych z Google API.

2. Zakres pobieranych danych z konta Google

W ramach integracji, wyłącznie po udzieleniu zgody przez Nauczyciela, Serwis uzyskuje dostęp do:

• Google Drive API (drive.file) — lista plików i folderów na Dysku Google Nauczyciela, treść wybranych plików (dokumenty, zdjęcia, PDF-y) w celu wyświetlenia ich na tablicy interaktywnej lub wstawienia jako elementu lekcji. Serwis odczytuje i tworzy wyłącznie pliki, do których Nauczyciel wyraźnie przyznał dostęp.
• Google Calendar API (calendar) — zdarzenia z kalendarza Google Nauczyciela (tytuł, data, godzina, opis) w celu dwukierunkowej synchronizacji z harmonogramem zajęć w Serwisie.
• Google People API (userinfo.profile, userinfo.email) — podstawowe dane profilu: imię, nazwisko, adres e-mail, zdjęcie profilowe — wyłącznie w celu identyfikacji konta i wyświetlenia danych w panelu Nauczyciela.

3. Cele i podstawy prawne

1. Wyświetlanie plików z Dysku Google na tablicy interaktywnej — art. 6 ust. 1 lit. b RODO (realizacja usługi).
2. Synchronizacja harmonogramu zajęć z Google Calendar — art. 6 ust. 1 lit. b RODO.
3. Identyfikacja użytkownika poprzez konto Google — art. 6 ust. 1 lit. b RODO.

4. Przechowywanie tokenów OAuth

Po wyrażeniu zgody przez Nauczyciela Serwis przechowuje token dostępu i token odświeżania OAuth 2.0 wyłącznie na serwerze, w zaszyfrowanej bazie danych. Tokeny nie są nigdy udostępniane osobom trzecim i służą jedynie do komunikacji z Google API w imieniu Nauczyciela. Serwis stosuje zasadę minimalnego zakresu danych — dostęp jest ograniczony do zasobów niezbędnych do świadczenia usług opisanych powyżej.

5. Udostępnianie danych podmiotom trzecim

Dane pobrane z konta Google Nauczyciela (pliki, zdarzenia kalendarza, dane profilu) nie są udostępniane żadnym podmiotom trzecim poza dostawcami infrastruktury serwerowej działającymi na podstawie umów powierzenia i zobowiązanymi do zachowania poufności.

6. Cofnięcie dostępu i usunięcie danych

Nauczyciel może w dowolnym momencie cofnąć dostęp Serwisu do swojego konta Google:

1. W panelu Serwisu — zakładka „Integracje" → przycisk „Rozłącz konto Google".
2. Bezpośrednio w ustawieniach konta Google: myaccount.google.com/permissions → znajdź „LekcjeRazem.pl" i kliknij „Usuń dostęp".

Po cofnięciu dostępu tokeny OAuth są niezwłocznie usuwane z naszych serwerów. Dane wcześniej pobrane z Google (np. nazwy plików wyświetlone na tablicy) mogą być przechowywane do czasu usunięcia konta przez Nauczyciela lub do upływu okresu wskazanego w § 7.

7. Zgodność z zasadami Google API

Korzystanie z Google API odbywa się zgodnie z Google API Services User Data Policy, w tym z zasadą ograniczonego wykorzystania danych. Dane uzyskane z Google API nie są wykorzystywane do celów marketingowych, profilowania reklamowego ani odsprzedaży.