Polityka prywatności

Administrator danych

Administratorem Twoich danych osobowych jest Rozmowni.pl Małgorzata Rudowska (jednoosobowa działalność gospodarcza prowadząca szkołę językową, w ramach której działa platforma Matufy), z siedzibą pod adresem 31-242 Kraków, ul. Witkowicka 68G/1, NIP 6783052400, dalej „Matufy", „my" lub „Administrator”.

Kontakt w sprawach ochrony danych osobowych: kontakt@matufy.pl.

Nie powołaliśmy Inspektora Ochrony Danych (IOD). We wszystkich sprawach dotyczących przetwarzania Twoich danych możesz kontaktować się z nami pod powyższym adresem e-mail.

Kim jesteśmy i kogo dotyczy ta polityka

Matufy to platforma przygotowująca do matury rozszerzonej z języka angielskiego (cykl maj 2027), dostępna jako aplikacja mobilna (iOS/Android) oraz serwis internetowy. Zakup dostępu odbywa się przez stronę internetową; aplikacja mobilna odblokowuje treści po zalogowaniu.

Ta polityka opisuje, jakie dane osobowe zbieramy, w jakim celu, na jakiej podstawie prawnej i komu je powierzamy. Dotyczy wszystkich użytkowników serwisu i aplikacji.

Uwaga - osoby niepełnoletnie. Z Matufy korzystają w dużej mierze osoby niepełnoletnie (maturzyści). Zasady przetwarzania ich danych opisujemy osobno w sekcji 9.

Jakie dane zbieramy

Dane, które podajesz nam samodzielnie:

Dane konta: adres e-mail oraz hasło (przechowywane wyłącznie w postaci zaszyfrowanego skrótu - nie znamy Twojego hasła).

Dane profilu: np. imię lub pseudonim, klasa/rok matury (jeśli podasz).

Treści nauki: odpowiedzi na zadania, wyniki testu poziomującego oraz teksty, które wpisujesz (np. wypracowania przesyłane do oceny).

Dane płatności: dane niezbędne do realizacji zakupu (obsługiwane przez operatora płatności - patrz sekcja 5; nie przechowujemy pełnych numerów kart).

Korespondencja: treść wiadomości, gdy kontaktujesz się z nami.

Dane zbierane automatycznie:

Dane techniczne i o urządzeniu: typ urządzenia, system operacyjny, wersja aplikacji, adres IP, identyfikatory sesji.

Dane o korzystaniu (analityka): zdarzenia w aplikacji i serwisie (np. które ekrany i funkcje odwiedzasz, postępy w nauce).

Dane o błędach i awariach: informacje o awariach i błędach aplikacji i serwisu (komunikaty błędów, ślady stosu, stan aplikacji w chwili wystąpienia problemu).

Pliki cookies i podobne technologie (patrz sekcja 10).

Cele i podstawy prawne przetwarzania

Założenie i prowadzenie konta, świadczenie usługi (dostęp do treści, zapis postępów) - kategorie danych: dane konta, profilu, treści nauki. Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy).

Ocena i informacja zwrotna do zadań i wypracowań (w tym z użyciem AI) - kategorie danych: treści nauki, teksty wpisywane przez użytkownika. Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy).

Obsługa i rozliczenie płatności - kategorie danych: dane płatności. Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz lit. c (obowiązek prawny - przepisy podatkowe i rachunkowe).

Analityka produktowa i poprawa działania platformy - kategorie danych: dane o korzystaniu, dane techniczne. Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes - rozwój i bezpieczeństwo usługi) lub lit. a (zgoda, w zakresie cookies analitycznych).

Wiadomości transakcyjne (np. potwierdzenie konta, resetowanie hasła, potwierdzenie zakupu) - kategorie danych: e-mail. Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy).

Kontakt i obsługa zgłoszeń - kategorie danych: korespondencja, dane konta. Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes w obsłudze użytkownika).

Zapewnienie bezpieczeństwa i zapobieganie nadużyciom - kategorie danych: dane techniczne, logi. Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).

Monitorowanie stabilności i diagnostyka błędów aplikacji - kategorie danych: dane o błędach i awariach, dane techniczne. Podstawa prawna: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes - stabilność i bezpieczeństwo usługi).

Marketing własny / newsletter (np. materiały, przypomnienia, oferty) - kategorie danych: e-mail. Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda).

Pomiar skuteczności wysyłek e-mail (otwarcia, kliknięcia) - kategorie danych: e-mail, dane o interakcji z wiadomością. Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda, element zgody marketingowej) lub lit. f (prawnie uzasadniony interes w ocenie własnych wysyłek).

Pomiar skuteczności kampanii reklamowych i marketing (piksele Meta, TikTok, Metricool) - kategorie danych: dane o korzystaniu z serwisu WWW, identyfikatory reklamowe/cookies. Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda, cookies marketingowe).

W każdej chwili możesz cofnąć zgodę tam, gdzie przetwarzanie odbywa się na jej podstawie (nie wpływa to na zgodność z prawem przetwarzania sprzed cofnięcia).

Odbiorcy danych i podmioty przetwarzające

Powierzamy dane wyłącznie zaufanym dostawcom, którzy przetwarzają je na nasze zlecenie i zgodnie z umowami powierzenia (art. 28 RODO):

Supabase - hosting bazy danych i uwierzytelnianie użytkowników. Dane konta, profilu i postępów przechowywane są w regionie eu-central-1 (Frankfurt, Niemcy), na terenie Europejskiego Obszaru Gospodarczego (EOG).

PostHog - analityka produktowa (zdarzenia korzystania z aplikacji i serwisu). Region hostingu: EU Cloud (Frankfurt, Niemcy) - dane pozostają w EOG.

Sentry - monitorowanie błędów, awarii i stabilności aplikacji i serwisu. Region hostingu: EU (Frankfurt, Niemcy) - dane pozostają w EOG. Operatorem usługi jest Functional Software, Inc. (USA); powierzenie odbywa się na podstawie umowy powierzenia i standardowych klauzul umownych (SCC).

Stripe (Stripe Payments Europe, Ltd., Irlandia) - obsługa płatności.

Google (usługa Gemini) - przetwarzanie treści wpisywanych przez użytkownika w celu automatycznej oceny i informacji zwrotnej (patrz sekcja 12).

Sender (Sender, UAB, Litwa) - wysyłka wiadomości marketingowych/newslettera (na podstawie Twojej zgody). Wiadomości te zawierają znaczniki mierzące otwarcia i kliknięcia, co pozwala nam ocenić skuteczność wysyłek.

Meta Platforms Ireland Limited (Irlandia) - piksel Meta (Facebook/Instagram) na serwisie WWW, na podstawie Twojej zgody; pomiar skuteczności kampanii reklamowych i dopasowanie reklam.

TikTok Technology Limited (Irlandia) - piksel TikTok na serwisie WWW, na podstawie Twojej zgody; pomiar skuteczności kampanii reklamowych i dopasowanie reklam.

Metricool (Metricool Corp Spain, S.L., Hiszpania) - pomiar ruchu i skuteczności kampanii marketingowych na serwisie WWW, na podstawie Twojej zgody.

Wiadomości transakcyjne (potwierdzenie konta, resetowanie hasła, potwierdzenie zakupu) wysyłamy za pośrednictwem serwera SMTP skonfigurowanego w Supabase.

Apple App Store oraz Google Play - dystrybucja aplikacji mobilnej (w zakresie danych związanych z pobraniem i działaniem aplikacji na urządzeniu).

Dane możemy również udostępnić organom publicznym, gdy wynika to z obowiązku prawnego.

Przekazywanie danych poza EOG

Dane przechowywane w Supabase (Frankfurt), przetwarzane przez PostHog (EU Cloud, Frankfurt), Sentry (EU, Frankfurt), Stripe Payments Europe (Irlandia), Sender (Litwa) oraz Metricool (Hiszpania) pozostają w EOG.

Niektóre operacje mogą wiązać się z przekazaniem danych poza EOG:

Google (Gemini) - treści przesyłane do oceny mogą być przetwarzane na serwerach grupy Google, w tym poza EOG.

Grupa Stripe może obejmować podmioty spoza EOG (np. w USA).

Meta - dane z piksela Meta mogą być przekazywane do spółki macierzystej Meta Platforms, Inc. (USA).

TikTok - dane z piksela TikTok mogą być przekazywane poza EOG, w tym do spółek grupy ByteDance (m.in. Singapur).

W takich przypadkach transfer odbywa się na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską lub innego mechanizmu przewidzianego w rozdziale V RODO. Kopię zabezpieczeń możesz uzyskać, kontaktując się z nami.

Okres przechowywania danych

Dane konta i postępów - przez okres posiadania konta, nie dłużej niż do 31.05.2027 (koniec cyklu maturalnego) lub do usunięcia konta, w zależności od tego, co nastąpi wcześniej. Po tym czasie dane usuwamy lub anonimizujemy.

Dane płatności i dokumenty księgowe - przez okres wymagany przepisami podatkowymi i o rachunkowości (co do zasady 5 lat od końca roku podatkowego).

Dane analityczne - przez 12 miesięcy, w miarę możliwości w postaci zagregowanej lub zanonimizowanej.

Korespondencja - przez czas niezbędny do obsługi zgłoszenia oraz okres przedawnienia ewentualnych roszczeń.

Twoje prawa

Przysługują Ci następujące prawa: dostępu do danych i uzyskania ich kopii, sprostowania (poprawienia) danych, usunięcia danych („prawo do bycia zapomnianym”), ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie oraz cofnięcia zgody w dowolnym momencie (tam, gdzie podstawą jest zgoda).

Aby skorzystać z tych praw, napisz do nas na kontakt@matufy.pl. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

Prawo do skargi. Masz prawo wnieść skargę do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa.

Dane osób niepełnoletnich

Matufy jest kierowane m.in. do maturzystów, wśród których są osoby niepełnoletnie.

Zgodnie z art. 8 RODO oraz przepisami polskimi, samodzielne wyrażenie zgody na usługi społeczeństwa informacyjnego jest skuteczne, gdy dziecko ukończyło 16 lat. Poniżej tego wieku zgoda musi zostać wyrażona lub zaakceptowana przez rodzica albo opiekuna prawnego.

Jeśli jesteś rodzicem lub opiekunem i uważasz, że dziecko przekazało nam dane bez wymaganej zgody, skontaktuj się z nami - takie dane usuniemy.

Cookies marketingowe (piksele Meta, TikTok, Metricool - patrz sekcja 10) instalujemy na serwisie WWW na tych samych zasadach dla wszystkich odwiedzających, niezależnie od wieku - wyłącznie po wyrażeniu zgody w banerze cookies. Jeśli jesteś rodzicem lub opiekunem i chcesz, byśmy usunęli dane zebrane w ten sposób od niepełnoletniego dziecka, napisz do nas na kontakt@matufy.pl.

Pliki cookies i podobne technologie

W serwisie i aplikacji wykorzystujemy cookies i pamięć niezbędną - do logowania, utrzymania sesji i podstawowego działania usługi (nie wymagają zgody) - oraz cookies analityczne (m.in. PostHog) i marketingowe (piksele Meta, TikTok, Metricool), instalowane na podstawie Twojej zgody, którą możesz w każdej chwili wycofać w ustawieniach przeglądarki lub w panelu zgód.

Szczegółowy wykaz cookies zawiera odrębna Polityka Cookies.

Bezpieczeństwo danych

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, m.in. szyfrowanie połączeń, przechowywanie haseł wyłącznie w postaci skrótu, kontrolę dostępu (Row Level Security w bazie danych) oraz korzystanie z renomowanych dostawców infrastruktury.

Zautomatyzowane przetwarzanie i funkcje AI

Analityka służy poprawie działania platformy i nie podejmuje wobec Ciebie decyzji wywołujących skutki prawne.

Ocena z użyciem AI: teksty, które wpisujesz (np. wypracowania), mogą być przekazywane do modelu Google Gemini w celu wygenerowania punktacji i informacji zwrotnej. Wynik ma charakter pomocniczy i edukacyjny - nie zastępuje oceny nauczyciela ani oceny egzaminacyjnej CKE i nie wywołuje wobec Ciebie skutków prawnych.

Nie stosujemy zautomatyzowanego podejmowania decyzji w rozumieniu art. 22 RODO, które wywoływałoby wobec Ciebie skutki prawne lub w podobny sposób istotnie na Ciebie wpływało.

Zmiany polityki

Możemy aktualizować niniejszą politykę (np. przy zmianie funkcji lub dostawców). O istotnych zmianach poinformujemy w aplikacji lub e-mailem. Aktualna wersja wraz z datą obowiązuje od dnia jej opublikowania.