Zaloguj się

Polityka prywatności aplikacji i serwisów Roadsy

§ 1. Postanowienia ogólne

  1. Niniejsza Polityka prywatności (dalej: „Polityka”) opisuje zasady przetwarzania danych osobowych w związku z korzystaniem z aplikacji „Roadsy” (dalej: „Aplikacja”) oraz stron internetowych Usługodawcy, w szczególności roadsy.pl.
  2. Administratorem danych osobowych w zakresie wskazanym w § 2 ust. 1 Polityki jest Wojciech Pasiński, prowadzący działalność gospodarczą pod firmą Wojciech Pasiński (adres stałego miejsca wykonywania działalności gospodarczej: Wichrowe Wzgórze 25/48, 61-697 Poznań), wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej prowadzonej przez ministra właściwego ds. gospodarki, posiadający NIP: 9721251180, numer REGON: 302835337 (dalej: „Usługodawca” lub „Administrator”).
  3. Administrator nie wyznaczył inspektora ochrony danych; we wszystkich sprawach dotyczących przetwarzania danych osobowych kontakt jest możliwy pod adresem: wojtek@roadsy.pl.
  4. Pojęcia pisane wielką literą, niezdefiniowane w Polityce, mają znaczenie nadane im w Regulaminie aplikacji Roadsy (dalej: „Regulamin”), dostępnym pod adresem: https://roadsy.pl/regulamin.
  5. Usługodawca przetwarza dane osobowe zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: „RODO”) oraz innymi właściwymi przepisami o ochronie danych osobowych.

§ 2. Role Usługodawcy – administrator i podmiot przetwarzający

  1. Usługodawca jest administratorem danych osobowych w szczególności w odniesieniu do:
    1. danych osób zakładających i prowadzących Konto (w tym Użytkowników Zaproszonych w zakresie ich kont dostępowych),
    2. danych rozliczeniowych i kontaktowych związanych z Umową oraz Opłatą Subskrypcyjną,
    3. danych technicznych i bezpieczeństwa związanych z uwierzytelnianiem oraz korzystaniem z Aplikacji i stron Usługodawcy (w tym sesji, adresów IP i informacji o urządzeniu),
    4. danych osób kontaktujących się z Usługodawcą poza Aplikacją (np. pocztą elektroniczną lub za pośrednictwem formularzy kontaktowych na stronach internetowych Usługodawcy),
    5. danych Zgłaszających oraz osób składających odwołanie w ramach procedury zgłaszania Treści Usługobiorcy przewidzianej w § 10 Regulaminu (w związku z obowiązkami wynikającymi z DSA).
  2. W odniesieniu do danych osobowych kursantów, instruktorów oraz innych osób, których dane Usługobiorca (ośrodek szkolenia kierowców) wprowadza do Aplikacji, administratorem jest Usługobiorca, a Usługodawca przetwarza te dane jako podmiot przetwarzający na podstawie Umowy powierzenia przetwarzania danych osobowych stanowiącej Załącznik nr 1 do Regulaminu.
  3. Wśród osób, których dane Usługobiorca wprowadza do Aplikacji, mogą znajdować się osoby małoletnie – w szczególności kandydaci na kierowców kategorii AM lub A1, którzy zgodnie z przepisami o ruchu drogowym mogą rozpocząć szkolenie przed ukończeniem 18. roku życia (kurs na kategorię AM od 13 lat i 9 miesięcy; prawo jazdy AM po ukończeniu 14 lat). Administratorem tych danych pozostaje Usługobiorca (ust. 2). Aplikacja jest oferowana Usługobiorcom prowadzącym ośrodki szkolenia kierowców, a nie bezpośrednio dzieciom. Jeżeli Usługobiorca oferuje kursantowi-małoletniemu usługę społeczeństwa informacyjnego, dla której wymagana jest zgoda w rozumieniu art. 8 RODO, obowiązki wynikające z tego przepisu – w tym uzyskanie zgody osoby sprawującej władzę rodzicielską lub opiekę, gdy jest to wymagane – ciążą na Usługobiorcy jako administratorze. Usługodawca w roli podmiotu przetwarzającego pomaga Usługobiorcy w wypełnieniu obowiązków z art. 32–36 RODO, w tym w zakresie oceny skutków dla ochrony danych (art. 35 RODO), na zasadach Umowy powierzenia.
  4. Ta sama osoba fizyczna może występować jednocześnie w obu rolach opisanych w ust. 1 i 2. Dotyczy to w szczególności Użytkownika Zaproszonego (zgodnie z § 2 Regulaminu – w szczególności instruktora lub kursanta), któremu Usługobiorca przyznał dostęp do Konta. W takim przypadku:
    1. w zakresie konta dostępowego i uwierzytelniania – to jest danych, o których mowa w ust. 1 pkt 1 i 3, w szczególności adresu poczty elektronicznej służącego do logowania, danych otrzymanych od dostawcy tożsamości, sesji oraz zdarzeń uwierzytelniania – administratorem jest Usługodawca,
    2. w zakresie kartoteki kursanta lub instruktora oraz danych o przebiegu szkolenia prowadzonych w Aplikacji przez Usługobiorcę – to jest danych, o których mowa w § 3 ust. 1 pkt 4 Polityki oraz w § 3 Umowy powierzenia – administratorem jest Usługobiorca, a Usługodawca jest podmiotem przetwarzającym.

    Okoliczność, że dana osoba korzysta z konta dostępowego, nie czyni Usługodawcy administratorem danych zawartych w jej kartotece; okoliczność, że dane tej osoby znajdują się w kartotece prowadzonej przez Usługobiorcę, nie czyni Usługobiorcy administratorem danych jej konta dostępowego. Postanowienie niniejszego ustępu stosuje się także wtedy, gdy Użytkownik Zaproszony jest osobą małoletnią – Usługodawca pozostaje wówczas administratorem danych konta dostępowego i uwierzytelniania, a Usługobiorca administratorem danych kartoteki.

  5. Osoby, których dane dotyczą w zakresie, o którym mowa w ust. 2, powinny w pierwszej kolejności wykonywać swoje prawa wobec ośrodka szkolenia kierowców jako administratora. Usługodawca pomaga Usługobiorcy w realizacji tych praw na zasadach określonych w Umowie powierzenia. Zasady kierowania żądań w przypadku, o którym mowa w ust. 4, określa § 7 ust. 5 Polityki.

§ 3. Kategorie przetwarzanych danych

  1. W zależności od sposobu korzystania z Aplikacji Usługodawca może przetwarzać następujące kategorie danych:
    1. dane konta użytkownika – w szczególności imię i nazwisko, adres poczty elektronicznej, wizerunek (jeżeli przekazany przez dostawcę tożsamości), status weryfikacji adresu email, rola i uprawnienia w ramach Konta, rola w systemie Usługodawcy (w tym oznaczenie konta administratora), status blokady konta wraz z powodem i ewentualnym terminem jej obowiązywania,
    2. dane organizacji (ośrodka) – w szczególności nazwa ośrodka oraz inne dane identyfikujące lub kontaktowe wprowadzone w związku z Kontem,
    3. dane rozliczeniowe – identyfikatory subskrypcji, klienta i produktu u Operatora Płatności oraz status i daty okresów rozliczeniowych subskrypcji; dane osoby kupującej (w tym dane płatnicze i dane do faktury) przetwarza Operator Płatności jako odrębny administrator (merchant of record),
    4. dane kursantów i instruktorów wprowadzane przez Usługobiorcę – w szczególności imię i nazwisko, adres poczty elektronicznej, numer telefonu, numer PESEL, numer profilu kandydata na kierowcę (PKK), kategoria prawa jazdy, kwalifikacje i dostępność instruktorów oraz dane dotyczące przebiegu szkolenia (harmonogram, obecność, przebyty dystans, wyniki wewnętrznych egzaminów), a także inne dane wprowadzone do Aplikacji przez Usługobiorcę (przetwarzane w roli podmiotu przetwarzającego – zob. § 2 ust. 2),
    5. dane sesji i bezpieczeństwa – identyfikatory sesji, czas ich utworzenia i wygaśnięcia, adres IP, informacje o przeglądarce i urządzeniu (user agent), zdarzenia uwierzytelniania, hashe jednorazowych kodów weryfikacyjnych służących do logowania, tokeny dostępu i odświeżania wydane przez zewnętrznego dostawcę tożsamości (Google) oraz informacja o sesji utworzonej w wyniku impersonacji konta przez upoważnioną osobę Usługodawcy (w tym identyfikator tej osoby),
    6. dane komunikacji – treść i metadane korespondencji z Usługodawcą oraz dane przekazane za pośrednictwem formularzy kontaktowych na stronach internetowych Usługodawcy (w tym formularza wczesnego dostępu),
    7. dane zgłoszeń i odwołań dotyczących Treści Usługobiorcy – w szczególności imię i nazwisko lub nazwa, adres email Zgłaszającego, a w przypadku odwołania także adres korespondencyjny oraz treść zgłoszenia lub odwołania,
    8. dane o korzystaniu ze stron internetowych Usługodawcy – w zakresie wynikającym z plików cookies, podobnych technologii oraz narzędzi analitycznych, opisanych w § 9 Polityki oraz w Polityce cookies dostępnej pod adresem: https://roadsy.pl/cookies,
    9. dane utrwalenia akceptacji Regulaminu (wraz z potwierdzeniem zapoznania się z Polityką) – w szczególności adres poczty elektronicznej osoby akceptującej (utrwalony niezależnie od dalszego istnienia konta użytkownika), numer wersji zaakceptowanego Regulaminu, data i godzina akceptacji oraz adres IP.
  2. W zakresie, w jakim dane osobowe nie zostały uzyskane bezpośrednio od osoby, której dotyczą, Usługodawca pozyskuje je z następujących źródeł:
    1. od Usługobiorcy (ośrodka szkolenia kierowców) – w szczególności adres poczty elektronicznej Użytkownika Zaproszonego podany w związku z zaproszeniem do Konta,
    2. od Google Ireland Limited – w szczególności imię i nazwisko, adres poczty elektronicznej oraz wizerunek użytkownika logującego się przy użyciu konta Google,
    3. od Operatora Płatności – w szczególności identyfikatory subskrypcji, klienta i produktu oraz status i daty okresów rozliczeniowych subskrypcji (zdarzenia dotyczące subskrypcji).
  3. Aplikacja nie jest przeznaczona do przetwarzania szczególnych kategorii danych, o których mowa w art. 9 RODO (w tym danych o stanie zdrowia), ani danych dotyczących wyroków skazujących i czynów zabronionych, o których mowa w art. 10 RODO. Usługobiorca zobowiązany jest nie wprowadzać takich danych do Aplikacji.

§ 4. Cele i podstawy prawne przetwarzania

  1. Usługodawca przetwarza dane osobowe, których jest administratorem, w następujących celach i na następujących podstawach prawnych:
    1. zawarcie i wykonanie Umowy o korzystanie z Aplikacji, w tym założenie i utrzymanie Konta, uwierzytelnianie, świadczenie Usługi oraz obsługa rozliczeń – art. 6 ust. 1 lit. b RODO,
    2. wypełnienie obowiązków prawnych ciążących na Usługodawcy, w szczególności obowiązków rachunkowych i podatkowych – art. 6 ust. 1 lit. c RODO,
    3. wypełnienie obowiązków prawnych wynikających z DSA w zakresie procedury zgłaszania i działania wobec Treści Usługobiorcy (§ 10 Regulaminu), w tym przetwarzanie danych Zgłaszającego oraz osoby składającej odwołanie – art. 6 ust. 1 lit. c RODO,
    4. ustalenie, dochodzenie lub obrona roszczeń oraz zapewnienie bezpieczeństwa Aplikacji (w tym zapobieganie nadużyciom i nieuprawnionemu dostępowi) – art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora),
    5. kontakt w sprawach związanych z Usługą oraz odpowiadanie na zapytania – art. 6 ust. 1 lit. b RODO (gdy kontakt dotyczy Umowy) albo art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes polegający na prowadzeniu komunikacji),
    6. analizowanie ruchu i poprawa działania stron internetowych Usługodawcy – art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes polegający na pomiarze ruchu i poprawie działania serwisów),
    7. wykazanie faktu i treści zawartej Umowy oraz rozliczalność przetwarzania poprzez utrwalenie akceptacji Regulaminu i Polityki (§ 3 ust. 1 pkt 9 Polityki) – art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na wykazaniu faktu i treści zawartej Umowy oraz na rozliczalności, art. 5 ust. 2 RODO).
  2. Podanie danych konta, danych ośrodka oraz danych rozliczeniowych (§ 3 ust. 1 pkt 1–3 Polityki) jest dobrowolne, ale stanowi wymóg umowny i jest niezbędne do zawarcia oraz wykonania Umowy – zgodnie z § 4 ust. 3 Regulaminu korzystanie z Aplikacji wymaga posiadania Konta utworzonego na zaproszenie Usługodawcy oraz założenia ośrodka w Aplikacji. Konsekwencją niepodania tych danych jest brak możliwości założenia Konta, zawarcia i wykonania Umowy oraz świadczenia Usługi, a w zakresie danych rozliczeniowych – brak możliwości obsługi płatności i przedłużenia Umowy w sposób odpłatny. Podanie danych ujmowanych w dokumentach księgowych stanowi ponadto wymóg ustawowy wynikający z przepisów rachunkowych i podatkowych. Podanie imienia i nazwiska lub nazwy oraz adresu email Zgłaszającego (§ 3 ust. 1 pkt 7 Polityki) w ramach zgłoszenia Treści Usługobiorcy stanowi wymóg wynikający z DSA oraz z § 10 ust. 5 Regulaminu; konsekwencją ich niepodania jest możliwość pozostawienia zgłoszenia bez rozpoznania (§ 10 ust. 7 Regulaminu). Podanie danych wskazanych w § 10 ust. 14 Regulaminu jest niezbędne do złożenia odwołania.
  3. W zakresie, w jakim Usługodawca działa jako podmiot przetwarzający, przetwarza dane powierzone przez Usługobiorcę wyłącznie w celu świadczenia Usługi korzystania z Aplikacji, na udokumentowane polecenie Usługobiorcy oraz na podstawie art. 28 RODO i Umowy powierzenia.
  4. Operator Płatności (Polar Software, Inc.) przetwarza dane osoby dokonującej zakupu jako odrębny administrator (merchant of record), w celu realizacji sprzedaży, poboru Opłaty Subskrypcyjnej oraz rozliczeń podatkowych. Szczegóły przetwarzania przez Operatora Płatności wynikają z jego własnych dokumentów informacyjnych.

§ 5. Okresy przechowywania

  1. Dane związane z Kontem i wykonaniem Umowy Usługodawca przetwarza przez czas trwania Umowy, a po jej zakończeniu – przez okres niezbędny do realizacji uprawnień i obowiązków wynikających z Regulaminu oraz przepisów prawa.
  2. Zgodnie z § 11 ust. 10 Regulaminu, po zakończeniu Umowy Usługodawca:
    1. zapewnia dostęp do Treści Usługobiorcy przez 30 (trzydzieści) kolejnych dni,
    2. usuwa Treści Usługobiorcy po upływie okresu wskazanego w pkt 1 – na żądanie Usługobiorcy może wykonać to wcześniej.
  3. Jeżeli Umowa nie zostanie przedłużona w sposób odpłatny przed upływem Okresu Próbnego, zgodnie z § 4 ust. 8 Regulaminu Konto oraz Treści Usługobiorcy pozostają zachowane przez 30 (trzydzieści) dni od zakończenia Okresu Próbnego. Po upływie tego terminu Usługodawca może usunąć Konto wraz z Treściami Usługobiorcy, uprzedzając o tym Usługobiorcę pocztą elektroniczną.
  4. Usunięcie Konta – w szczególności w przypadkach wskazanych w § 4 ust. 15–17 Regulaminu – jest, zgodnie z § 4 ust. 18 Regulaminu, równoznaczne z archiwizacją wszystkich zapisanych na nim Treści Usługobiorcy, a następnie ich usunięciem po upływie okresu archiwizacji, o którym mowa w ust. 2 pkt 1 powyżej. W okresie archiwizacji Usługodawca przetwarza zarchiwizowane Treści Usługobiorcy wyłącznie w celu umożliwienia ich eksportu na zasadach określonych w § 11 ust. 11 Regulaminu oraz ich usunięcia po upływie tego okresu.
  5. Zgodnie z § 11 Umowy powierzenia (Załącznik nr 1 do Regulaminu):
    1. po zakończeniu Umowy Usługodawca usuwa powierzone dane osobowe po upływie okresu, o którym mowa w § 11 ust. 10 pkt 1 Regulaminu, chyba że obowiązek dalszego przechowywania wynika z przepisów prawa,
    2. przed usunięciem danych Usługobiorca może zażądać ich eksportu na zasadach określonych w § 11 ust. 11 Regulaminu,
    3. usunięcie obejmuje również kopie zapasowe, przy czym usunięcie danych z kopii zapasowych następuje w ramach zwykłego cyklu ich nadpisywania, nie później niż w terminie 90 (dziewięćdziesięciu) dni.
  6. Usunięcie danych osobowych, których administratorem jest Usługodawca (§ 2 ust. 1 Polityki), obejmuje również kopie zapasowe. Dane te są przechowywane w tej samej bazie danych co dane powierzone przez Usługobiorcę i objęte tym samym mechanizmem tworzenia kopii zapasowych, dlatego – tak jak w przypadku wskazanym w ust. 5 pkt 3 powyżej – usunięcie danych z kopii zapasowych następuje w ramach zwykłego cyklu ich nadpisywania, nie później niż w terminie 90 (dziewięćdziesięciu) dni. Do czasu nadpisania kopii zapasowych dane w nich zawarte nie są wykorzystywane w bieżącej działalności i służą wyłącznie odtworzeniu systemu po awarii.
  7. Dane rozliczeniowe i dokumenty, do których przechowywania zobowiązują przepisy rachunkowe lub podatkowe, Usługodawca przechowuje przez okres wymagany tymi przepisami.
  8. Dane sesji i bezpieczeństwa (§ 3 ust. 1 pkt 5 Polityki) Usługodawca przechowuje według następujących zasad:
    1. dane sesji uwierzytelnienia – do czasu ich wygaśnięcia wskazanego w systemie uwierzytelniania, a następnie usuwa je,
    2. hashe jednorazowych kodów weryfikacyjnych – do czasu ich wygaśnięcia, a następnie usuwa je,
    3. tokeny dostępu i odświeżania wydane przez zewnętrznego dostawcę tożsamości – przez czas powiązania konta z tym dostawcą albo do czasu wygaśnięcia lub odwołania tokenów,
    4. zdarzenia uwierzytelniania – Usługodawca raportuje je do dostawcy infrastruktury uwierzytelniania (Better Auth, Inc.) i nie prowadzi własnego, trwałego rejestru takich zdarzeń poza danymi sesji, o których mowa w pkt 1; okres przechowywania po stronie tego dostawcy wynika z jego praktyk i umowy powierzenia. Informacja o sesji impersonacyjnej (w tym identyfikator osoby Usługodawcy) jest częścią danych sesji i jest usuwana wraz z wygaśnięciem tej sesji.
  9. Dane z korespondencji oraz z formularzy kontaktowych Usługodawca przechowuje przez czas niezbędny do obsługi sprawy oraz ochrony prawnie uzasadnionych interesów Administratora.
  10. Dane związane ze zgłoszeniami i odwołaniami dotyczącymi Treści Usługobiorcy (§ 10 Regulaminu) Usługodawca przechowuje przez czas niezbędny do rozpatrzenia sprawy oraz wypełnienia obowiązków wynikających z DSA, a następnie przez okres niezbędny do ustalenia, dochodzenia lub obrony roszczeń.
  11. Dane utrwalenia akceptacji Regulaminu i Polityki (§ 3 ust. 1 pkt 9 Polityki) Usługodawca przechowuje przez okres przedawnienia roszczeń wynikających z Umowy. Zapis ten jest utrzymywany także po usunięciu Konta lub konta użytkownika osoby akceptującej – adres poczty elektronicznej pozostaje utrwalony niezależnie od dalszego istnienia tego konta.

§ 6. Odbiorcy danych, podwykonawcy i przekazywanie poza EOG

  1. W zakresie danych osobowych, których administratorem jest Usługodawca (§ 2 ust. 1 Polityki), odbiorcami danych mogą być:
    1. podmioty przetwarzające dane na zlecenie Usługodawcy, to jest dostawcy: hostingu bazy danych (w tym danych Konta oraz sesji), hostingu Aplikacji i stron internetowych Usługodawcy wraz z infrastrukturą serwerową oraz pomiarem ruchu, o którym mowa w § 9 ust. 2 Polityki, wysyłki wiadomości poczty elektronicznej (w tym kodów jednorazowych służących do logowania oraz zaproszeń do Konta), hostingu skrzynki poczty elektronicznej służącej do kontaktu z Usługodawcą (w tym do obsługi żądań osób, których dane dotyczą, eksportu danych oraz zgłoszeń i odwołań w trybie DSA), infrastruktury uwierzytelniania (w tym raportowania i analityki zdarzeń uwierzytelniania) oraz hostingu formularzy kontaktowych na stronach internetowych Usługodawcy (w tym formularza wczesnego dostępu). Aktualną listę tych podmiotów, wraz ze wskazaniem zakresu i miejsca przetwarzania, Usługodawca publikuje pod adresem: https://roadsy.pl/podwykonawcy,
    2. Operator Płatności – jako odrębny administrator w zakresie płatności (§ 4 ust. 4 Polityki),
    3. Google Ireland Limited – jako odrębny administrator w zakresie logowania użytkowników przy użyciu konta Google (§ 3 ust. 2 pkt 2 Polityki),
    4. organy publiczne – wyłącznie gdy wymaga tego prawo.

    Osoby upoważnione przez Usługodawcę (w tym współpracownicy) nie stanowią odbiorców w rozumieniu art. 4 pkt 9 RODO – zasady ich dostępu do danych określa § 10 Polityki.

  2. W zakresie, w jakim Usługodawca działa jako podmiot przetwarzający na rzecz ośrodka szkolenia kierowców (§ 2 ust. 2 Polityki), korzysta z dalszych podmiotów przetwarzających, których aktualną listę – zgodnie z § 7 ust. 2 Umowy powierzenia (Załącznik nr 1 do Regulaminu) – publikuje pod adresem: https://roadsy.pl/podwykonawcy. Są to dostawcy, o których mowa w ust. 1 pkt 1 – z wyjątkiem dostawcy hostingu formularzy kontaktowych na stronach internetowych Usługodawcy – a ponadto dostawca wysyłki wiadomości SMS, z którego Usługodawca korzysta w tej roli. Powierzone dane mogą być ponadto ujawniane organom publicznym na zasadach określonych w ust. 1 pkt 4. Dostęp osób upoważnionych przez Usługodawcę do powierzonych danych określają środki organizacyjne wskazane w § 10 Polityki.
  3. Poniższe zasady przekazywania danych poza EOG stosuje się jednakowo do danych, których administratorem jest Usługodawca (ust. 1), oraz do danych powierzonych przez Usługobiorcę (ust. 2) – w obu rolach Usługodawca korzysta ze wspólnej infrastruktury Aplikacji; lista, o której mowa w ust. 1 pkt 1 i w ust. 2, wskazuje także dostawców używanych wyłącznie w jednej z tych ról. Dane w bazie produkcyjnej są hostowane w EOG. Miejsce przetwarzania danych przez poszczególnych dostawców oraz podstawę ewentualnego przekazania danych poza EOG wskazuje ta lista. Przekazanie danych poza EOG odbywa się na podstawie standardowych klauzul umownych Komisji Europejskiej albo decyzji stwierdzającej odpowiedni stopień ochrony (w tym EU-US Data Privacy Framework, o ile dany dostawca jest nimi objęty).
  4. Kopię zabezpieczeń, o których mowa w ust. 3, albo informację o miejscu, w którym zostały one udostępnione, można uzyskać, kontaktując się z Administratorem pod adresem: wojtek@roadsy.pl. Uprawnienie Usługobiorcy do uzyskania informacji o podstawie przekazania danych do państwa trzeciego wynika z § 8 ust. 4 Umowy powierzenia.
  5. Operator płatności (Polar Software, Inc.) nie jest dalszym podmiotem przetwarzającym Usługodawcy – przetwarza dane osoby kupującej jako odrębny administrator (merchant of record). Google Ireland Limited, w zakresie logowania użytkowników przy użyciu konta Google, również nie jest dalszym podmiotem przetwarzającym Usługodawcy – działa jako odrębny administrator danych posiadacza konta Google; Usługodawca otrzymuje od niego dane wskazane w § 3 ust. 2 pkt 2 Polityki. Usługodawca korzysta z usług Google Ireland Limited jako podmiotu przetwarzającego wyłącznie w zakresie hostingu skrzynki poczty elektronicznej (Google Workspace), wskazanym w ust. 1 pkt 1 oraz na liście podwykonawców.
  6. Lista, o której mowa w ust. 1 pkt 1 i w ust. 2, jest publikowana i aktualizowana odrębnie od Polityki, a zasady informowania o jej zmianach oraz sprzeciwu wobec nich wynikają z § 7 ust. 2–3 i ust. 5 Umowy powierzenia oraz z § 11 ust. 4 Polityki. Aktualizacja tej listy nie stanowi zmiany Polityki ani Regulaminu; zmiana kategorii odbiorców wskazanych w ust. 1 wymaga natomiast zmiany Polityki na zasadach określonych w § 11 Polityki.

§ 7. Prawa osób, których dane dotyczą

  1. Osobie, której dane dotyczą, przysługują – w granicach RODO – prawa do:
    1. dostępu do danych oraz otrzymania ich kopii,
    2. sprostowania (poprawienia) danych,
    3. usunięcia danych („prawo do bycia zapomnianym”),
    4. ograniczenia przetwarzania,
    5. przenoszenia danych,
    6. cofnięcia zgody, jeżeli przetwarzanie odbywa się na podstawie zgody – bez wpływu na zgodność z prawem przetwarzania sprzed jej cofnięcia.
  2. Osobie, której dane dotyczą, przysługuje prawo wniesienia w dowolnym momencie sprzeciwu – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. f RODO, w tym profilowania (§ 4 ust. 1 pkt 4–7 Polityki). Po wniesieniu sprzeciwu Usługodawca nie przetwarza już tych danych, chyba że wykaże istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, albo podstaw do ustalenia, dochodzenia lub obrony roszczeń (art. 21 ust. 1 RODO). Jeżeli dane osobowe byłyby przetwarzane na potrzeby marketingu bezpośredniego, osobie, której dane dotyczą, przysługuje prawo wniesienia w dowolnym momencie sprzeciwu wobec takiego przetwarzania – w tym profilowania w zakresie, w jakim jest związane z marketingiem bezpośrednim – bez konieczności podawania przyczyn; po wniesieniu sprzeciwu dane nie mogą być już przetwarzane w tych celach (art. 21 ust. 2 RODO). Usługodawca nie przetwarza obecnie danych osobowych na potrzeby marketingu bezpośredniego (§ 8 ust. 5 Polityki). Sprzeciw należy zgłosić pod adresem wskazanym w ust. 3.
  3. W celu realizacji praw wobec Usługodawcy jako administratora należy skontaktować się pod adresem: wojtek@roadsy.pl. Usługodawca odpowiada bez zbędnej zwłoki, nie później niż w terminie 1 (jednego) miesiąca od otrzymania żądania. W razie potrzeby – z uwagi na skomplikowany charakter żądania lub liczbę żądań – termin ten może zostać przedłużony o kolejne 2 (dwa) miesiące; o przedłużeniu Usługodawca informuje w terminie miesiąca od otrzymania żądania, podając przyczyny opóźnienia (art. 12 RODO).
  4. W odniesieniu do danych, których administratorem jest ośrodek szkolenia kierowców (§ 2 ust. 2 Polityki), żądania należy kierować do tego ośrodka. Usługodawca wspiera Usługobiorcę w realizacji tych żądań na zasadach Umowy powierzenia; funkcje Aplikacji umożliwiające dostęp do danych, ich sprostowanie oraz archiwizację, a także eksport danych realizowany przez Usługodawcę na żądanie przesłane pocztą elektroniczną (zgodnie z § 4 ust. 19–20 oraz § 11 ust. 11 Regulaminu), uznaje się za podstawową formę takiej pomocy.
  5. Jeżeli osoba, której dane dotyczą, występuje jednocześnie w obu rolach, o których mowa w § 2 ust. 4 Polityki, o adresacie żądania decyduje jego przedmiot:
    1. żądania dotyczące konta dostępowego i logowania do Aplikacji – w szczególności adresu poczty elektronicznej służącego do uwierzytelniania, danych otrzymanych od dostawcy tożsamości, sesji oraz zdarzeń uwierzytelniania – należy kierować do Usługodawcy, na adres wskazany w ust. 3;
    2. żądania dotyczące kartoteki kursanta lub instruktora oraz danych o przebiegu szkolenia (w tym harmonogramu zajęć, obecności, przebytego dystansu i wyników egzaminów wewnętrznych) – należy kierować do ośrodka szkolenia kierowców, zgodnie z ust. 4.
  6. Żądanie skierowane do Usługodawcy w sprawie, za którą odpowiada ośrodek szkolenia kierowców, nie pozostaje bez odpowiedzi – Usługodawca informuje osobę, której dane dotyczą, który podmiot jest w danej sprawie administratorem, a w ramach pomocy, o której mowa w § 5 ust. 5 Umowy powierzenia, przekazuje żądanie właściwemu ośrodkowi. Usunięcie konta dostępowego nie usuwa kartoteki prowadzonej przez ośrodek szkolenia kierowców, a usunięcie kartoteki przez ośrodek nie usuwa samodzielnie konta dostępowego.
  7. Osobie, której dane dotyczą, przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl), gdy uzna, że przetwarzanie narusza przepisy o ochronie danych osobowych.

§ 8. Zautomatyzowane podejmowanie decyzji i profilowanie

  1. Administrator nie podejmuje wobec osób, których dane dotyczą, decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec tych osób skutki prawne lub w podobny sposób istotnie na nie wpływały (art. 22 ust. 1 RODO), z zastrzeżeniem ust. 2–3 poniżej.
  2. W celu zapewnienia bezpieczeństwa Aplikacji oraz zapobiegania nadużyciom i nieuprawnionemu dostępowi Usługodawca stosuje ograniczanie liczby żądań (rate limiting) kierowanych do funkcji uwierzytelniania oraz raportuje zdarzenia uwierzytelniania do dostawcy infrastruktury uwierzytelniania (Better Auth, Inc.). Ograniczanie liczby żądań opiera się na danych technicznych żądania, w szczególności na adresie IP oraz liczbie i częstotliwości żądań. Podstawą przetwarzania jest art. 6 ust. 1 lit. f RODO (§ 4 ust. 1 pkt 4 Polityki).
  3. Możliwe konsekwencje ograniczania liczby żądań ograniczają się do czasowego odrzucenia lub spowolnienia pojedynczego żądania. Mechanizm ten nie prowadzi samoczynnie do zablokowania lub usunięcia Konta, rozwiązania Umowy ani trwałej odmowy świadczenia Usługi – skutki te wymagają decyzji podejmowanej z udziałem człowieka, na zasadach określonych w § 4 ust. 16–17 Regulaminu.
  4. Decyzje dotyczące Treści Usługobiorcy, o których mowa w § 10 Regulaminu, są podejmowane z udziałem człowieka.
  5. Usługodawca nie profiluje osób, których dane dotyczą, w celach marketingowych ani reklamowych. Narzędzia analityczne wskazane w § 9 Polityki służą wyłącznie zbiorczemu pomiarowi ruchu na stronach internetowych Usługodawcy.

§ 9. Pliki cookies i analityka

  1. Strony internetowe Usługodawcy oraz Aplikacja wykorzystują pliki cookies ściśle niezbędne do uwierzytelniania i utrzymania sesji, w tym techniczne pliki cookies procesu logowania. Cookies te są niezbędne do świadczenia usługi żądanej przez użytkownika w rozumieniu art. 398 Prawa komunikacji elektronicznej, dlatego ich stosowanie nie wymaga zgody. Zablokowanie tych cookies uniemożliwia zalogowanie się do Aplikacji. Preferencje interfejsu (w tym motyw oraz stan menu bocznego) są przechowywane w pamięci lokalnej przeglądarki (localStorage) lub podobnej technologii po stronie klienta i nie stanowią plików cookies.
  2. Na stronach internetowych Usługodawcy oraz w Aplikacji Usługodawca korzysta z Vercel Web Analytics do pomiaru ruchu (m.in. odsłony stron). Według dokumentacji dostawcy narzędzie to nie wykorzystuje plików cookies; odwiedzających identyfikuje się na podstawie hasha generowanego z żądania, ważnego przez jeden dzień.
  3. Szczegółowy opis plików cookies, podobnych technologii oraz narzędzi analitycznych stosowanych w serwisach Usługodawcy – w tym uzasadnienie braku banera zgody – znajduje się w Polityce cookies dostępnej pod adresem: https://roadsy.pl/cookies.

§ 10. Bezpieczeństwo danych

  1. Usługodawca stosuje środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności szyfrowanie transmisji (TLS), uwierzytelnianie bez haseł (kody jednorazowe lub zewnętrzny dostawca tożsamości), logiczne oddzielenie danych poszczególnych Usługobiorców, kontrolę dostępu opartą na rolach, ograniczenie dostępu do danych osobowych wyłącznie do osób upoważnionych przez Usługodawcę (w tym współpracowników) i wyłącznie w zakresie niezbędnym do świadczenia Usługi lub usunięcia awarii, kopie zapasowe, utrwalanie w danych sesji informacji technicznych związanych z dostępem do Aplikacji oraz raportowanie zdarzeń uwierzytelniania do dostawcy infrastruktury uwierzytelniania. Osoby te działają pod zwierzchnictwem Usługodawcy i nie stanowią odbiorców danych w rozumieniu art. 4 pkt 9 RODO.
  2. W celu świadczenia wsparcia technicznego oraz usuwania awarii Usługodawca może, wyłącznie przez osoby upoważnione, uzyskać dostęp do Konta poprzez utworzenie sesji impersonacyjnej (działanie w imieniu użytkownika). Fakt takiej sesji – w tym identyfikator osoby Usługodawcy – jest utrwalony w danych tej sesji przez czas jej trwania (do wygaśnięcia) i nie tworzy odrębnego, trwałego rejestru po stronie Usługodawcy. Dostęp ten jest ograniczony do zakresu niezbędnego do obsługi zgłoszenia lub usunięcia awarii.
  3. Szczegółowy opis środków stosowanych przy przetwarzaniu powierzonym określa § 6 Umowy powierzenia.

§ 11. Zmiany Polityki i wersjonowanie

  1. Usługodawca może zaktualizować Politykę, w szczególności w razie zmiany przepisów, zakresu przetwarzania, stosowanych narzędzi lub kategorii odbiorców danych.
  2. Aktualna wersja Polityki jest publikowana pod adresem: https://roadsy.pl/polityka-prywatnosci. Numer wersji dokumentu: 2026-09-14.
  3. O zmianie Polityki Usługodawca informuje poprzez opublikowanie jej zmienionej wersji pod adresem wskazanym w ust. 2 powyżej, wraz ze zaktualizowanym numerem wersji oraz datą, od której zmieniona wersja obowiązuje. Niezależnie od publikacji zmieniona wersja Polityki zostanie przesłana Usługobiorcy pocztą elektroniczną – odpowiednio do zasad informowania o zmianie Regulaminu określonych w § 16 ust. 2 Regulaminu. Wobec osób, których dane dotyczą, niebędących Usługobiorcami, publikacja jest podstawowym sposobem informowania o zmianie.
  4. O zamierzonym dodaniu lub zastąpieniu dalszego podmiotu przetwarzającego (§ 6 ust. 2 Polityki) Usługodawca informuje Usługobiorcę pocztą elektroniczną lub komunikatem w Aplikacji z co najmniej 30-dniowym wyprzedzeniem, a Usługobiorcy przysługuje prawo wniesienia uzasadnionego sprzeciwu w terminie 14 (czternastu) dni od otrzymania informacji – na zasadach wskazanych w § 6 ust. 6 Polityki oraz w § 7 ust. 5 Umowy powierzenia. Zmiana listy, o której mowa w § 6 ust. 6 Polityki, nie stanowi zmiany Polityki ani Regulaminu i nie wymaga zastosowania procedury zmiany Regulaminu (§ 16 Regulaminu), ani procedury, o której mowa w ust. 3 powyżej.
  5. Zmiana Polityki nie może ograniczać praw przysługujących osobom, których dane dotyczą, na podstawie RODO ani rozszerzać zakresu lub celów przetwarzania w sposób nieznajdujący podstawy prawnej wskazanej w § 4 Polityki.
  6. Polityka obowiązuje od dnia 14 września 2026 r.