Polityka prywatności
Uczę głównie osoby niepełnoletnie, więc prywatność nie jest tu formalnością do odhaczenia. Ta strona nie ma analityki, nie ma reklam, nie ma pikseli społecznościowych i nie ładuje czcionek z Google — wszystkie kroje pisma są hostowane na moim serwerze właśnie po to, żeby przeglądarka ucznia nie wysyłała swojego adresu IP do firmy trzeciej przy każdym wejściu na stronę.
Poniżej jest pełna lista tego, co faktycznie zbieram. Jeśli czegoś tu nie ma — to tego nie zbieram.
Kto jest administratorem danych
Administratorem danych osobowych jest Kuba Ornatek, prowadzący Ometek Academy — jednoosobowa działalność szkoleniowa. Nie ma tu zespołu, działu obsługi ani podwykonawców dydaktycznych: dane widzi jedna osoba, ta sama, która prowadzi zajęcia.
Kontakt w każdej sprawie dotyczącej danych — w tym w sprawie realizacji praw opisanych niżej — prowadzi formularz kontaktowy. Świadomie nie publikuję adresu e-mail ani numeru telefonu; formularz trafia bezpośrednio do mnie i odpowiadam z adresu, na który można odpisać.
Dane z formularza kontaktowego
Formularz kontaktowy i formularz zgłoszenia zapisują dokładnie te pola, które w nim widać:
- imię i adres e-mail — żebym miał jak odpisać,
- numer telefonu — pole opcjonalne, puste jest w porządku,
- rola (rodzic / uczeń / nauczyciel) i treść wiadomości,
- opcjonalnie: imię ucznia, klasa, cel (OI, OIJ, Logia, matura…) i poziom — tylko po to, żeby pierwsza odpowiedź była konkretna, a nie ogólnikowa.
Dane konta i dane z nauki
Konto na platformie zakładam ja — nie ma otwartej rejestracji. Konto ucznia zawiera nazwę użytkownika, nazwę wyświetlaną, opcjonalny adres e-mail, rolę i zaszyfrowany skrót hasła. Hasła nie przechowuję i nie potrafię go odczytać.
Do tego dochodzą dane z samej nauki: które zadania zostały zgłoszone i kiedy, mój status oceny, moje komentarze do rozwiązań, punkty XP, ranga, monety, kalendarz aktywności i obecność na zajęciach. To jest sedno usługi — bez tego platforma nie ma czego pokazać ani uczniowi, ani rodzicowi.
Konto rodzica jest kontem podglądowym, powiązanym z kontem dziecka. Rodzic widzi profil i kalendarz aktywności swojego dziecka i nic poza tym — nie widzi treści zadań, nie widzi innych uczniów i nie może niczego zgłosić za dziecko.
Dane osób niepełnoletnich
Większość moich uczniów to osoby niepełnoletnie. Konto ucznia zakładam na wniosek rodzica lub opiekuna, po ustaleniu współpracy — dziecko nie może samo założyć konta ani samo zapisać się na zajęcia.
Zbieram minimum: imię (lub inicjały, jeśli rodzic tak woli), klasę i to, co uczeń zrobił z zadaniami. Nie zbieram adresu zamieszkania, PESEL-u, danych szkoły, zdjęć ani niczego, czego nauka algorytmiki nie wymaga.
Rodzic w każdej chwili może zażądać wglądu w dane dziecka, ich poprawienia lub usunięcia konta.
Dane techniczne
Serwer zapisuje standardowe logi: adres IP, czas żądania, adres strony i typ przeglądarki. Służą wyłącznie do diagnostyki i do obrony przed atakami.
Osobno działa ochrona logowania: po kilku nieudanych próbach para (adres IP, login) zostaje czasowo zablokowana, a liczba żądań na minutę jest ograniczona. To wymaga zapamiętania adresu IP na czas trwania blokady i jest jedyną rzeczą, do której go używam.
Formularze publiczne mogą być chronione mechanizmem Cloudflare Turnstile. Wybrałem go zamiast reCAPTCHA właśnie dlatego, że nie wysyła adresu IP odwiedzającego do Google; mój serwer celowo nie przekazuje mu nawet parametru z adresem IP.
Podstawy prawne i czas przechowywania
- Wiadomość z formularza — art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy) lub lit. f (odpowiedź na zapytanie). Trzymam do zakończenia sprawy i przez rozsądny czas potem, żeby wiedzieć, o czym już rozmawialiśmy.
- Konto i dane z nauki — art. 6 ust. 1 lit. b RODO (wykonanie umowy). Trzymam przez czas współpracy; po jej zakończeniu konto usuwam na żądanie, a jeśli żądania nie ma, po zakończeniu bieżącego roku szkolnego pytam, czy zostawić.
- Logi i ochrona logowania — art. 6 ust. 1 lit. f RODO (bezpieczeństwo usługi). Krótko: logi rotują, blokady wygasają automatycznie.
- Dokumenty księgowe, jeśli powstaną — obowiązek ustawowy, czas wynikający z przepisów podatkowych.
Komu powierzam dane
Nie sprzedaję danych, nie wymieniam się nimi i nie udostępniam ich do celów marketingowych. Nikomu. Korzystam natomiast z dostawców infrastruktury, bez których strona by nie działała:
- Render — hosting aplikacji,
- Supabase — baza danych (PostgreSQL),
- Cloudflare — sieć dostarczania treści, ochrona przed atakami i mechanizm Turnstile.
Przekazywanie poza EOG
Część wymienionych wyżej dostawców to firmy spoza Europejskiego Obszaru Gospodarczego. W takim przypadku przekazanie danych odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską, zawartych w umowach powierzenia z tymi dostawcami.
Twoje prawa
Masz prawo do:
- dostępu do swoich danych i otrzymania ich kopii,
- sprostowania danych nieprawidłowych,
- usunięcia danych („prawo do bycia zapomnianym”),
- ograniczenia przetwarzania,
- przenoszenia danych,
- sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
Zmiany
Jeśli zmienię sposób przetwarzania danych, zmienię tę stronę i zaktualizuję datę na dole. Jeśli zmiana będzie istotna, napiszę o niej bezpośrednio rodzicom uczniów, których dotyczy.