§ 1. Kto jest administratorem
Administratorem Twoich danych osobowych jest Murani spółka z ograniczoną odpowiedzialnością z siedzibą w Warszawie, Aleja Lotników 1/42/43, 02-668 Warszawa, KRS 0001133380, NIP 5214090227, REGON 529950500, właściciel serwisu Matury Ustne (maturyustne.pl). W sprawach danych osobowych pisz na kontakt@maturyustne.pl albo na adres siedziby. Nie powołaliśmy inspektora ochrony danych.
Polityka opisuje, jakie dane przetwarzamy, po co, na jakiej podstawie, jak długo i komu je przekazujemy. Stosujemy zasadę minimalizacji: zbieramy tylko to, co jest potrzebne do nauki i rozliczeń.
§ 2. Skąd mamy dane
- Od Ciebie: adres e-mail, nagrania, odpowiedzi, wiadomości do tutora, zgłoszenia.
- Od Google, jeśli logujesz się przez Google: adres e-mail, identyfikator konta oraz imię i zdjęcie profilowe, jeśli Google je przekaże.
- Od Stripe: status płatności, identyfikator transakcji i rodzaj metody płatności (bez numeru karty).
- Automatycznie z Twojej przeglądarki: dane techniczne, a po wyrażeniu zgody dane z plików cookies analitycznych i marketingowych.
Podanie adresu e-mail jest dobrowolne, ale bez niego nie założysz Konta. Nagranie odpowiedzi jest potrzebne do jej oceny. Zgody na marketing, analitykę i powiadomienia są w pełni dobrowolne i nie wpływają na dostęp do Usługi.
§ 3. Cele, podstawy prawne i okres przechowywania
| Dane | Cel | Podstawa prawna | Jak długo |
|---|---|---|---|
| Konto: adres e-mail, identyfikator Konta, przy logowaniu Google także identyfikator konta Google oraz imię i zdjęcie profilowe, jeśli Google je przekaże; daty założenia Konta i logowań | Założenie i prowadzenie Konta, logowanie linkiem lub przez Google | Umowa (art. 6 ust. 1 lit. b RODO) | Do usunięcia Konta |
| Nagrania głosu z odpowiedzi | Transkrypcja i ocena odpowiedzi, odsłuchanie własnej próby | Umowa (art. 6 ust. 1 lit. b RODO) | 30 dni od nagrania, potem usuwamy je automatycznie (wcześniej, jeśli usuniesz Konto) |
| Transkrypcje, oceny i uwagi AI, wyniki symulacji, postępy, plan, powtórki, rozmowy z tutorem, wykorzystanie limitów | Świadczenie Usługi: ocena, historia, plan nauki dopasowany do wyników | Umowa (art. 6 ust. 1 lit. b RODO) | Do usunięcia Konta |
| Zakupy: rodzaj Dostępu, kwota, data, status, identyfikator płatności w Stripe, rodzaj metody płatności, dane do faktury (jeśli o nią prosisz) | Zawarcie i wykonanie umowy, zwroty, rozliczenia podatkowe i księgowe | Umowa i obowiązek prawny (art. 6 ust. 1 lit. b i c RODO) | 5 lat od końca roku, w którym nastąpiła płatność (przepisy podatkowe i o rachunkowości); zostają także po usunięciu Konta |
| Reklamacje, zwroty i korespondencja z nami | Obsługa zgłoszeń, ustalenie i obrona roszczeń | Obowiązek prawny i prawnie uzasadniony interes (art. 6 ust. 1 lit. c i f RODO) | Do zakończenia sprawy, a potem do przedawnienia roszczeń, nie dłużej niż 6 lat |
| Maile transakcyjne: adres e-mail, treść i czas wysyłki | Link do logowania, potwierdzenie zakupu i zwrotu, powitanie, ważne informacje o Koncie i zmianach regulaminu | Umowa (art. 6 ust. 1 lit. b RODO) | Do usunięcia Konta |
| Maile z wskazówkami, przypomnieniami i ofertami: adres e-mail, historia zgód i wypisań, informacje o wysyłce | Marketing bezpośredni naszych usług | Zgoda (art. 6 ust. 1 lit. a RODO i art. 398 Prawa komunikacji elektronicznej) | Do wycofania zgody lub usunięcia Konta; zapis samej zgody do przedawnienia roszczeń |
| Powiadomienia push: adres subskrypcji przeglądarki, ustawienia powiadomień, historia wysyłek | Przypomnienia o nauce na urządzeniu | Zgoda (art. 6 ust. 1 lit. a RODO), wyrażana w przeglądarce | Do wyłączenia powiadomień lub usunięcia Konta |
| Źródło wejścia: strona, z której trafiasz do aplikacji, i parametry kampanii (UTM) zapisane przy Koncie, bez plików cookies | Ocena, które strony i kampanie prowadzą do założenia Konta i zakupu | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) | Do usunięcia Konta |
| Analityka (Google Analytics 4): identyfikator przeglądarki z pliku cookie, odsłony, zdarzenia, przybliżona lokalizacja, rodzaj urządzenia i przeglądarki | Statystyki korzystania z serwisu i jego ulepszanie | Zgoda (art. 6 ust. 1 lit. a RODO i art. 399 Prawa komunikacji elektronicznej) | Do wycofania zgody; dane w Google Analytics do 14 miesięcy |
| Marketing (Meta Pixel, Conversions API, funkcje reklamowe Google): identyfikatory z plików cookies, odwiedzone strony, zdarzenia (np. zakup i jego wartość), adres IP i dane przeglądarki | Mierzenie skuteczności reklam, docieranie z reklamą do osób, które odwiedziły serwis | Zgoda (art. 6 ust. 1 lit. a RODO i art. 399 Prawa komunikacji elektronicznej) | Do wycofania zgody; pliki cookies do 90 dni, dalej według zasad Meta i Google |
| Dane techniczne: adres IP, czas, adres strony, informacje o przeglądarce i błędach; zapis Twojego wyboru cookies | Bezpieczeństwo, ochrona przed nadużyciami, diagnozowanie błędów, wykazanie zgodności z przepisami | Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) | Logi do 90 dni; wybór cookies do 12 miesięcy |
Gdy podstawą jest prawnie uzasadniony interes, jest nim bezpieczeństwo serwisu, ochrona przed nadużyciami, dochodzenie i obrona roszczeń oraz ocena skuteczności naszych stron. Możesz się temu sprzeciwić (§ 8).
§ 4. Nagrania głosu i ocena AI
- Nagranie trafia do prywatnego magazynu, do którego dostęp ma tylko Twoje Konto. System AI zamienia je na tekst, a model językowy ocenia odpowiedź według kryteriów CKE. Egzaminator, tutor i ocena to systemy AI; informujemy o tym także w aplikacji.
- Nagrań nie używamy do rozpoznawania ani weryfikowania tożsamości, więc nie są to dane biometryczne. Nie używamy nagrań ani transkrypcji do reklam ani do trenowania modeli AI.
- Nagrania usuwamy automatycznie po 30 dniach. Transkrypcja i ocena zostają w historii, dopóki nie usuniesz Konta.
- Dopasowujemy plan nauki i powtórki do Twoich wyników. To automatyczna analiza postępów w nauce, ale nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub w podobny sposób istotnie na Ciebie wpływają (art. 22 RODO). Ocena jest szacunkiem do nauki i nie ma wpływu na wynik matury, a limity zależą wyłącznie od rodzaju Konta i Dostępu.
- Jeśli ocena wydaje Ci się błędna, napisz do nas: sprawdzi ją człowiek.
§ 5. Komu przekazujemy dane
Korzystamy ze sprawdzonych dostawców, z którymi mamy umowy powierzenia przetwarzania danych albo którzy działają jako odrębni administratorzy. Nie sprzedajemy danych.
| Odbiorca | Rola i zakres | Miejsce i podstawa przekazania |
|---|---|---|
| Cloudflare, Inc. (USA) i Cloudflare Ltd. | Hosting aplikacji, ochrona przed atakami, kolejki zadań; Workers AI: transkrypcja mowy (modele Whisper i Deepgram Nova), ocena odpowiedzi (model Qwen) i sprawdzanie faktów (model Clef); wysyłka e-maili (Cloudflare Email Service). Podmiot przetwarzający; nie używa Twoich danych do trenowania modeli. | Globalna sieć, także USA: Data Privacy Framework i standardowe klauzule umowne |
| Supabase, Inc. | Baza danych, logowanie i prywatny magazyn nagrań. Podmiot przetwarzający. | Dane przechowywane w Irlandii (AWS eu-west-1); dostęp serwisowy z USA na podstawie standardowych klauzul umownych |
| Microsoft Ireland Operations Ltd. (Azure Speech) | Synteza głosu egzaminatora. Przekazujemy tylko tekst wypowiedzi egzaminatora, nie Twoje nagrania. Podmiot przetwarzający. | Szwecja (EOG) |
| Stripe Payments Europe, Limited | Obsługa płatności i zwrotów. W zakresie płatności, zapobiegania oszustwom i obowiązków prawnych Stripe jest odrębnym administratorem danych. | Irlandia; przekazanie do Stripe, Inc. (USA): Data Privacy Framework |
| Google Ireland Limited | Logowanie przez Google (odrębny administrator; otrzymujemy adres e-mail, identyfikator i dane profilu, bez dostępu do skrzynki ani kontaktów). Google Analytics 4 po zgodzie analitycznej (podmiot przetwarzający). Funkcje reklamowe po zgodzie marketingowej. | Przekazanie do Google LLC (USA): Data Privacy Framework i standardowe klauzule umowne |
| Meta Platforms Ireland Limited | Meta Pixel i Conversions API po zgodzie marketingowej. Za zbieranie i przekazanie danych do Meta odpowiadamy wspólnie z Meta (współadministrowanie); dalej Meta przetwarza dane jako odrębny administrator, zgodnie z polityką na facebook.com/privacy/policy. | Przekazanie do Meta Platforms, Inc. (USA): Data Privacy Framework i standardowe klauzule umowne |
| Biuro rachunkowe, dostawca skrzynki e-mail, doradcy prawni | Księgowość, obsługa korespondencji, obrona roszczeń, w niezbędnym zakresie. | Polska / EOG |
Dane możemy też przekazać organom publicznym, gdy wymagają tego przepisy. Dostęp do danych w naszym zespole mają tylko upoważnione osoby, w zakresie potrzebnym do obsługi serwisu i zgłoszeń.
§ 6. Przekazywanie danych poza EOG
Część dostawców ma siedzibę w USA albo korzysta z infrastruktury poza Europejskim Obszarem Gospodarczym. Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU-US Data Privacy Framework, decyzja wykonawcza (UE) 2023/1795) w przypadku dostawców certyfikowanych w tym programie, a w pozostałych przypadkach na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję (art. 46 RODO). Kopię zabezpieczeń możesz uzyskać, pisząc na kontakt@maturyustne.pl.
§ 7. Maile, powiadomienia i zgody
- Maile niezbędne do korzystania z Konta (link do logowania, potwierdzenie zakupu i zwrotu, powitanie, informacje o zmianach regulaminu) wysyłamy bez zgody marketingowej, bo są częścią Usługi.
- Maile ze wskazówkami do nauki, przypomnieniami i ofertami wysyłamy tylko, jeśli zaznaczysz osobną, dobrowolną zgodę (przy logowaniu albo w ustawieniach Konta). Nadawcami są adresy kontakt@maturyustne.pl i kacper@maturyustne.pl.
- Zgodę wycofasz w każdej chwili jednym kliknięciem w linku „wypisz się” w każdym takim mailu albo przełącznikiem w ustawieniach. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania przed wycofaniem i nie ogranicza dostępu do Usługi.
- Powiadomienia push włączasz i wyłączasz w aplikacji oraz w ustawieniach przeglądarki.
- Zgody na pliki cookies analityczne i marketingowe zmienisz w każdej chwili linkiem „Ustawienia cookies” w stopce strony. Szczegóły: polityka cookies.
§ 8. Twoje prawa
- Masz prawo dostępu do swoich danych i otrzymania ich kopii, ich sprostowania, usunięcia, ograniczenia przetwarzania oraz przeniesienia danych, które nam przekazujesz na podstawie umowy lub zgody.
- Masz prawo w każdej chwili sprzeciwić się przetwarzaniu danych na podstawie prawnie uzasadnionego interesu z przyczyn związanych z Twoją szczególną sytuacją. Sprzeciw wobec marketingu bezpośredniego uwzględniamy zawsze.
- Jeśli przetwarzamy dane na podstawie zgody, możesz ją wycofać w każdej chwili.
- Wnioski wysyłaj na adres e-mail podany w § 1, najlepiej z adresu e-mail Konta. Odpowiadamy w ciągu miesiąca. Możemy poprosić o informacje potrzebne do potwierdzenia tożsamości.
- Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
§ 9. Usunięcie Konta
- Konto usuniesz samodzielnie w aplikacji (zakładka „Więcej”, „Usuń konto”) albo pisząc do nas.
- Jeśli nie masz zakupów, usuwamy Konto razem ze wszystkimi danymi: nagraniami, transkrypcjami, ocenami, historią, zgodami i subskrypcjami powiadomień.
- Jeśli masz zakupy, usuwamy wszystkie dane nauki, nagrania, zgody i powiadomienia, a adres e-mail w Koncie zastępujemy anonimowym oznaczeniem. Dane zamówień przechowujemy do końca okresu wymaganego przez przepisy podatkowe (5 lat).
- Usunięte dane mogą jeszcze przez krótki czas pozostać w kopiach zapasowych bazy danych, które nadpisują się automatycznie. Nie przywracamy z nich usuniętych Kont.
§ 10. Dane na Twoim urządzeniu
Część danych przechowujemy tylko w Twojej przeglądarce: lekcje zapisane do nauki offline (IndexedDB i pamięć podręczna aplikacji), drobne ustawienia interfejsu (localStorage) i wybór dotyczący cookies. Usuniesz je, czyszcząc dane witryny w przeglądarce. Opis tych technologii znajdziesz w polityce cookies.
§ 11. Osoby niepełnoletnie
- Z Usługi korzystają głównie uczniowie szkół ponadpodstawowych. Konto może założyć osoba, która ma co najmniej 16 lat; osoba młodsza może korzystać z Usługi tylko za zgodą rodzica albo opiekuna prawnego.
- Osoba poniżej 16 lat może wyrazić zgodę na maile marketingowe, analityczne i marketingowe pliki cookies oraz powiadomienia tylko za zgodą rodzica albo opiekuna (art. 8 RODO). Jeśli dowiemy się, że taka zgoda została wyrażona bez zgody rodzica, usuniemy dane zebrane na jej podstawie.
- Rodzic albo opiekun może w imieniu dziecka poniżej 16 lat skorzystać z praw opisanych w § 8.
§ 12. Bezpieczeństwo
Stosujemy środki techniczne i organizacyjne adekwatne do ryzyka: szyfrowane połączenia (HTTPS), sesję w plikach cookies niedostępnych dla skryptów, logowanie bez haseł, kontrolę dostępu na poziomie bazy danych (każde Konto widzi tylko swoje dane), prywatny magazyn nagrań, rejestr działań administracyjnych i logi techniczne bez treści Twoich odpowiedzi. O naruszeniu ochrony danych, które może powodować wysokie ryzyko, poinformujemy Cię bez zbędnej zwłoki.
§ 13. Zmiany polityki
Politykę aktualizujemy, gdy zmieniamy sposób przetwarzania danych, dostawców lub gdy wymagają tego przepisy. O istotnych zmianach poinformujemy e-mailem i na stronie. Wersja 1.0 obowiązuje od 6 października 2026 r..