Polityka prywatności — OSK Menadżer
Ostatnia aktualizacja: [DATA]
Usługa znajduje się w fazie pilotażowej. Dane mogą zostać usunięte w wyniku resetu środowiska lub kasacji konta szkoły. Nie wprowadzaj danych, których utraty nie akceptujesz — patrz Regulamin, § 10.
1. Kto jest administratorem danych
Administratorem danych związanych z kontem operatora platformy (rejestracja szkoły, dane właściciela konta, logi techniczne, komunikacja z Operatorem) jest:
[oskmanager.pl], [adres do uzupełnienia], NIP: [000-000-00-00], [KRS/CEIDG: •] E-mail do spraw ochrony danych: [admin@oskmanager.pl]
Dla danych wprowadzanych do CRM przez szkołę (kursanci, kadra, flota, karty jazd, wpłaty) administratorem danych jest Szkoła (Tenant) korzystająca z Usługi. Operator działa wyłącznie jako podmiot przetwarzający (procesor) na podstawie Umowy powierzenia — zob. /dpa. Oznacza to, że pytania dotyczące np. danych konkretnego kursanta kierujesz do szkoły, w której się szkolisz, nie do Operatora.
2. Jakie dane przetwarzamy jako administrator (poziom platformy)
| Kategoria danych | Przykłady | Cel |
|---|---|---|
| Dane konta | e-mail, hash hasła, nazwa szkoły, identyfikator szkoły | założenie i utrzymanie konta |
| Dane profilu szkoły | adres, dane kontaktowe podane przez właściciela | świadczenie usługi, kontakt |
| Dane techniczne | adres IP, logi zdarzeń, znaczniki czasu logowań | bezpieczeństwo, diagnostyka, wykrywanie nadużyć |
| Korespondencja | treść zgłoszeń, e-maile do wsparcia | obsługa zgłoszeń |
Podstawy prawne:
- art. 6 ust. 1 lit. b RODO — niezbędność do zawarcia i wykonania umowy (rejestracja, dostęp do Usługi),
- art. 6 ust. 1 lit. c RODO — obowiązki prawne (np. rozliczeniowe, jeśli dotyczy),
- art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes Operatora (bezpieczeństwo systemu, zapobieganie nadużyciom, dochodzenie roszczeń).
3. Dane w CRM szkoły (kursanci, kadra, flota)
Szkoła jako administrator decyduje, jakie dane wprowadza. System umożliwia przetwarzanie m.in.: imienia i nazwiska, danych kontaktowych, kategorii uprawnień, numeru PESEL (jeśli podany), harmonogramu jazd i teorii, kart jazd, ewidencji wpłat oraz danych kadry i floty.
PESEL — jego przetwarzanie w dokumentacji szkolenia kierowców wynika z przepisów ustawy o kierujących pojazdami; to szkoła jako administrator odpowiada za istnienie i prawidłowość tej podstawy. Operator nie weryfikuje zasadności wprowadzania PESEL przez szkołę i nie wykorzystuje go do żadnych celów własnych.
Szczegółowe cele, podstawy prawne i okresy retencji danych kursantów i kadry określa Szkoła we własnej informacji dla osób, których dane dotyczą (obowiązek z art. 13/14 RODO spoczywa na Szkole jako administratorze).
4. Odbiorcy danych i podprocesorzy
Operator korzysta z poniższych dostawców (aktualnych na dzień wdrożenia; lista może się zmieniać — patrz § 8 i /dpa):
| Podmiot | Rola | Lokalizacja / uwagi |
|---|---|---|
| Neon | hosting bazy danych (PostgreSQL) | [region EU — do potwierdzenia] |
| Google Cloud / Cloud Run | hosting aplikacji | [region EU — do potwierdzenia] |
| Resend | wysyłka e-maili transakcyjnych (rejestracja, powiadomienia) | USA — transfer na podstawie standardowych klauzul umownych (SCC) |
| Google (OAuth) | logowanie do panelu administracyjnego platformy (tylko personel Operatora) | USA/globalnie — SCC |
5. Przekazywanie danych poza EOG
Część dostawców (np. Resend, w zależności od konfiguracji Google) może przetwarzać dane poza Europejskim Obszarem Gospodarczym. W takich przypadkach Operator opiera się na standardowych klauzulach umownych zatwierdzonych przez Komisję Europejską (art. 46 RODO) jako mechanizmie zabezpieczającym transfer.
6. Okres przechowywania danych
- Konto szkoły: przez czas trwania umowy oraz [•] dni po jej zakończeniu lub usunięciu konta (okres na odzyskanie danych), po czym dane są trwale usuwane, o ile przepisy prawa nie wymagają dłuższego okresu.
- Logi bezpieczeństwa i techniczne: do [•] miesięcy.
- Kopie zapasowe: rotacyjnie, maks. [•] dni.
- Dane w CRM szkoły: do czasu usunięcia przez Szkołę lub zakończenia Umowy — zgodnie z poleceniami Szkoły jako administratora (zob. /dpa § 7).
7. Twoje prawa
Jeśli jesteś właścicielem/pracownikiem konta szkoły (a więc Twoje dane przetwarza Operator jako administrator), masz prawo do: dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f. Przysługuje Ci też prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).
Jeśli jesteś kursantem/instruktorem, którego dane wprowadziła szkoła — powyższe prawa realizujesz wobec szkoły jako administratora Twoich danych; Operator przekaże takie żądanie do właściwej szkoły, jeśli trafi bezpośrednio do niego.
Kontakt w sprawach ochrony danych: [admin@oskmanager.pl]
8. Zmiany podprocesorów i polityki
O zmianach listy podprocesorów mających wpływ na przetwarzanie danych informujemy zgodnie z § 8 Umowy powierzenia (/dpa). O istotnych zmianach niniejszej polityki informujemy poprzez aktualizację daty na tej stronie oraz — jeśli zmiana jest istotna — e-mailem do właścicieli kont, z wyprzedzeniem co najmniej [•] dni.
9. Bezpieczeństwo
Hasła przechowujemy w postaci zahashowanej (nie w postaci jawnej), połączenia z Usługą szyfrujemy protokołem TLS, dostęp do danych szkoły ograniczamy rolami użytkowników (właściciel / sekretariat / instruktor). Szczegóły środków technicznych i organizacyjnych — zob. Załącznik do Umowy powierzenia.
10. Ciasteczka
Szczegóły w odrębnym dokumencie: /cookies.
11. Kontakt
[oskmanager.pl], [adres do uzupełnienia], e-mail: [admin@oskmanager.pl]