Polityka Prywatności

Niniejsza Polityka Prywatności wyjaśnia, w jaki sposób Tomasz Żyłka, prowadzący jednoosobową działalność gospodarczą pod firmą Tomasz Zylka Veinito.com ("my", "nas", "nasz"), operator ClassKasy, zbiera, wykorzystuje i chroni Twoje dane osobowe podczas korzystania z naszej usługi. Zobowiązujemy się do ochrony Twojej prywatności zgodnie z Ogólnym Rozporządzeniem o Ochronie Danych (RODO) oraz obowiązującymi przepisami o ochronie danych.

Administratorem danych odpowiedzialnym za Twoje dane osobowe jest: Tomasz Żyłka, prowadzący jednoosobową działalność gospodarczą pod firmą Tomasz Zylka Veinito.com, Bierzycka 8, 51-179 Wrocław, Polska. NIP: PL6452337008, REGON: 521704806. W sprawach związanych z prywatnością prosimy o kontakt pod adresem tomek@classkasa.com.

Nie wyznaczyliśmy Inspektora Ochrony Danych (IOD), ponieważ nie jesteśmy do tego zobowiązani na mocy art. 37 RODO. We wszystkich sprawach dotyczących ochrony danych prosimy o kontakt: tomek@classkasa.com.

Zbieramy następujące dane osobowe w celu świadczenia i ulepszania naszej usługi:

• Adres e-mail (do uwierzytelniania za pomocą linków magicznych)
• Twoje imię (wyświetlane członkom klasy)
• Nazwa rodziny (używana w grupach klasowych)
• Adresy e-mail rodziców (dodawane przez skarbników do zarządzania klasą)
• Dane konta bankowego (IBAN, wprowadzane przez skarbników do zbierania wpłat)
• Status płatności (czy rodzina opłaciła zbiórkę)
• Wiadomości czatu (jeśli korzystasz z chatbota AI - Twoje wiadomości i odpowiedzi chatbota - przechowywane przez 2 dni, następnie trwale usuwane)
• Pliki cookie (niezbędne i funkcjonalne, patrz sekcja Pliki cookie poniżej)
• Dane o źródle kampanii (która reklama, link lub kampania przyprowadziła Cię do ClassKasy), zapisywane przy koncie, żebyśmy wiedzieli, które kampanie naprawdę działają.

Jeśli korzystasz z funkcji Uzgadniania Wyciągów Bankowych (dostępnej dla subskrybentów ClassKasa Premium), możesz przesyłać pliki wyciągów bankowych (PDF lub obrazy) w celu automatycznego wyodrębnienia transakcji. Poniżej opisujemy, jak przetwarzamy te dane:

• Przesłane dokumenty: pliki wyciągów bankowych (w formacie PDF lub graficznym) zawierające szczegóły transakcji, imiona i nazwiska posiadaczy rachunków, numery IBAN, numery kont, opisy transakcji i kwoty.
• Wyodrębnione dane transakcji: opisy transakcji, kwoty, daty oraz imiona nadawców/odbiorców odczytane z przesłanego dokumentu przez analizę AI.
• Wyciągi bankowe mogą zawierać dane osobowe (PII), w tym imiona nadawców, numery IBAN, numery kont oraz opisy transakcji odnoszące się do konkretnych osób.

Podstawa prawna: Art. 6 ust. 1 lit. b) RODO - przetwarzanie jest niezbędne do wykonania umowy (Twojej subskrypcji ClassKasa Premium). Każde skanowanie rozpoczynasz samodzielnie, przesyłając dokument i wyraźnie zatwierdzając wyodrębnione wyniki, zanim jakiekolwiek zapisy płatności zostaną zaktualizowane.

Podmiot przetwarzający AI: Przesłane dokumenty są wysyłane do Anthropic, PBC (San Francisco, USA) za pośrednictwem API w celu wyodrębnienia transakcji przy użyciu modelu językowego Claude. Anthropic przetwarza dane wyłącznie w celu zwrócenia wyników do ClassKasy i nie wykorzystuje danych z API do trenowania swoich modeli. Podstawa przekazania: Standardowe Klauzule Umowne (SKU). Szczegóły w sekcji Podmioty przetwarzające.

Tymczasowe przechowywanie plików: Przesłane pliki są tymczasowo przechowywane w Netlify Blobs (region UE) podczas przetwarzania. Oryginalne pliki są usuwane natychmiast po zakończeniu analizy AI. ClassKasa nie przechowuje kopii Twoich wyciągów bankowych.

Okres przechowywania danych: Oryginalne przesłane pliki są usuwane natychmiast po przetworzeniu. Wyodrębnione metadane transakcji (opisy, kwoty, daty, dopasowane zapisy płatności) są przechowywane jako część ścieżki audytu Twojej klasy przez cały okres zbiórki. Możesz zażądać usunięcia wyodrębnionych danych, pisząc na tomek@classkasa.com.

Twoje prawa: Przysługuje Ci prawo dostępu, sprostowania oraz żądania usunięcia danych transakcji wyodrębnionych przez AI na podstawie art. 15-17 RODO. Możesz również wnieść sprzeciw wobec przetwarzania przez AI na podstawie art. 21 RODO. Ponieważ skarbnik musi wyraźnie zatwierdzić wszystkie dopasowania sugerowane przez AI przed zaktualizowaniem zapisów, nie zachodzi zautomatyzowane podejmowanie decyzji w rozumieniu art. 22 RODO.

Jeśli przystąpisz do opcjonalnego Programu Ambasadorskiego (poleceń), przetwarzamy dodatkowe dane w celu przypisania poleceń i wypłaty prowizji:

• Plik cookie atrybucji polecenia (ck_referral) przechowywany do 180 dni, ustawiany wyłącznie za Twoją zgodą, aby przypisać prowizję Ambasadorowi, który Cię polecił.
• W przypadku wypłat gotówkowych Stripe gromadzi i przechowuje dane do weryfikacji tożsamości (KYC), w tym dokument tożsamości i datę urodzenia, jako odrębny administrator; ClassKasa przechowuje wyłącznie identyfikator Twojego konta Stripe.
• Gdy jest to wymagane do celów sprawozdawczości podatkowej (na przykład dyrektywa UE 2021/514, DAC7), przetwarzamy i zgłaszamy Twój numer identyfikacji podatkowej, kraj oraz łączne zarobki.
• Jeśli zdecydujesz się na publiczną tablicę liderów, wyświetlany jest wyłącznie wybrany przez Ciebie pseudonim (nigdy prawdziwe imię i nazwisko), a w przypadku osób dorosłych - kraj; w przypadku osób małoletnich nigdy nie jest pokazywana lokalizacja inna niż kraj.

Przetwarzamy Twoje dane w następujących celach: (a) świadczenie usługi ClassKasa, w tym zarządzanie kontem, członkostwo w klasie i śledzenie zbiórek - podstawa prawna: art. 6 ust. 1 lit. b) RODO (wykonanie umowy); (b) wysyłanie wiadomości transakcyjnych (linki magiczne, powiadomienia, przypomnienia) - podstawa prawna: art. 6 ust. 1 lit. b) RODO; (c) przetwarzanie zapytań chatbota AI - podstawa prawna: art. 6 ust. 1 lit. b) RODO (część usługi Premium); (d) ulepszanie usługi, bezpieczeństwo i zapobieganie oszustwom - podstawa prawna: art. 6 ust. 1 lit. f) RODO (uzasadniony interes); (e) wypełnianie obowiązków prawnych (dokumentacja podatkowa, faktury) - podstawa prawna: art. 6 ust. 1 lit. c) RODO.

Jeśli skarbnik klasy dodał Twój adres e-mail do klasy w ClassKasie, Twoje dane (e-mail, imię, status płatności) są przetwarzane wspólnie przez skarbnika i ClassKasę. Nie byłeś pytany bezpośrednio - to skarbnik przekazał Twoje dane. Przysługują Ci te same prawa co każdemu użytkownikowi (dostęp, sprostowanie, usunięcie itp.). Aby z nich skorzystać, skontaktuj się ze skarbnikiem lub z ClassKasą pod adresem tomek@classkasa.com. Twoje dane są wykorzystywane wyłącznie do zarządzania funduszem klasowym i zostaną usunięte w ciągu 30 dni od usunięcia konta lub klasy.

Gdy skarbnik tworzy klasę i wprowadza dane rodziców, ClassKasa i skarbnik działają jako współadministratorzy. Skarbnik decyduje, których rodziców dodać i w jakim celu. ClassKasa zapewnia infrastrukturę techniczną i przetwarza dane odpowiednio. Rodzice mogą realizować swoje prawa wynikające z RODO, kontaktując się z którąkolwiek ze stron. Punktem kontaktowym dla osób, których dane dotyczą, jest ClassKasa: tomek@classkasa.com.

Przechowujemy Twoje dane osobowe przez okres istnienia Twojego konta. Po usunięciu konta usuniemy Twoje dane osobowe w ciągu 30 dni, chyba że prawo wymaga od nas przechowywania określonych zapisów.

• Faktury i dokumentacja podatkowa są przechowywane przez 5 lat po zakończeniu roku podatkowego, w którym miała miejsce transakcja, zgodnie z polskim prawem podatkowym i Ustawą o rachunkowości.
• Logi bezpieczeństwa (zanonimizowane adresy IP, znaczniki czasu logowania) są przechowywane przez okres do 90 dni w celach zapobiegania oszustwom i bezpieczeństwa.
• Wiadomości chatbota AI są automatycznie usuwane po 2 dniach.

Korzystamy z następujących usług zewnętrznych do obsługi ClassKasy:

• Neon (hosting bazy danych, Frankfurt, Niemcy) - przechowuje dane Twojego konta i klasy w UE.
• Netlify (hosting aplikacji, UE) - udostępnia aplikację ClassKasa z centrów danych w UE.
• Resend (dostarczanie e-maili, USA z przetwarzaniem w UE) - wysyła e-maile z linkami magicznymi i powiadomienia w naszym imieniu. Podstawa przekazywania: EU-US Data Privacy Framework (DPF) lub Standardowe Klauzule Umowne (SKU).
• Stripe, Inc. (przetwarzanie płatności, USA/UE) - przetwarza płatności za subskrypcje ClassKasa Premium. Stripe posiada certyfikat EU-US Data Privacy Framework. ClassKasa udostępnia Stripe Twój adres e-mail i identyfikator klasy w celu utworzenia sesji checkout. Polityka prywatności Stripe: https://stripe.com/privacy.
• Anthropic, PBC (chatbot AI, San Francisco, USA) - przetwarza wiadomości chatbota AI za pomocą modelu językowego Claude. Gdy korzystasz z chatbota, Twoje wiadomości i odpowiedni kontekst klasy są przesyłane do API Anthropic. Anthropic nie wykorzystuje Twoich danych do trenowania swoich modeli. Podstawa przekazywania: Standardowe Klauzule Umowne (SKU).
• Contentsquare (analityka produktowa, siedziba i przetwarzanie danych w UE) - obsługuje nagrania sesji i mapy cieplne uruchamiane wyłącznie po Twojej zgodzie, dzięki którym widzimy, jak strona jest używana i co poprawić. Nagrania są pseudonimowe: dane osobowe (imiona, kwoty, numery kont, czat) są maskowane w Twojej przeglądarce, zanim cokolwiek trafi do Contentsquare, i nigdy nie przekazujemy Contentsquare Twojej tożsamości. Dane nagrań są przetwarzane na infrastrukturze w UE. Podstawa przekazywania: dane pozostają w UE; ewentualny dostęp serwisowy spoza EOG jest objęty standardowymi klauzulami umownymi (SKU). Ładuje się dopiero po Twojej zgodzie na cookies analityczne.
• Enable Banking Oy (łączność open banking, Helsinki, Finlandia) - licencjonowany dostawca usługi dostępu do informacji o rachunku (AISP) zarejestrowany w fińskim organie nadzoru finansowego (FIN-FSA). Gdy skarbnik połączy konto bankowe klasy, Enable Banking odczytuje w naszym imieniu salda i transakcje tego konta, aby przychodzące płatności mogły być dopasowane do rodzin. Przetwarzanie odbywa się w UE/EOG. Polityka prywatności Enable Banking: https://enablebanking.com/privacy.

Jeśli skarbnik połączy konto bankowe klasy (funkcja ClassKasa Premium), odczytujemy to konto za pośrednictwem Enable Banking Oy, licencjonowanego dostawcy usługi dostępu do informacji o rachunku, aby przychodzące przelewy mogły być automatycznie dopasowane do właściwej rodziny. Ta sekcja wyjaśnia, co się z tym wiąże.

Co odczytujemy: Salda konta, przychodzące i wychodzące transakcje, nazwy kontrahentów przy tych przelewach oraz tytuły przelewów. Nigdy nie przenosimy środków i nie możemy realizować płatności - dostęp jest wyłącznie w trybie odczytu.

Podstawa prawna: Art. 6 ust. 1 lit. b) RODO (wykonanie umowy) w odniesieniu do skarbnika, który łączy konto, oraz art. 6 ust. 1 lit. f) RODO (prawnie uzasadniony interes) w odniesieniu do rodziców będących nadawcami przelewu, których imię i nazwisko oraz tytuł przelewu pojawiają się przy przelewie przychodzącym - przy czym prawnie uzasadnionym interesem jest dopasowanie każdej płatności do właściwej rodziny.

Informacja dla rodziców będących nadawcami przelewu (art. 14 RODO): Jeśli wysłali Państwo przelew bankowy na połączone konto klasy, Państwa imię i nazwisko oraz tytuł przelewu przekazał nam bank poprzez połączenie skarbnika - nie pytaliśmy o nie bezpośrednio. Używamy ich wyłącznie do dopasowania Państwa płatności do Państwa rodziny. Przysługują Państwu takie same prawa jak każdemu użytkownikowi (dostęp, sprostowanie, usunięcie, sprzeciw). Aby z nich skorzystać, prosimy o kontakt ze skarbnikiem lub z ClassKasą pod adresem tomek@classkasa.com.

Przechowywanie: Te dane bankowe przechowujemy tylko tak długo, jak długo konto pozostaje połączone, gdzie służą jako ścieżka audytu uzgadniania funduszu klasowego. Nie są przechowywane po odłączeniu konta.

Odłączenie oznacza usunięcie: W chwili gdy skarbnik odłączy bank, połączenie, zapisana zgoda oraz każda zaimportowana transakcja (w tym nazwy kontrahentów i tytuły przelewów) zostają trwale usunięte. Wpłaty już dopasowane do rodziny pozostają jako część zapisu funduszu klasowego.

Na mocy RODO przysługują Ci następujące prawa dotyczące Twoich danych osobowych:

• Prawo dostępu - żądanie kopii swoich danych osobowych.
• Prawo do sprostowania - poprawienie niedokładnych lub niekompletnych danych.
• Prawo do usunięcia - żądanie usunięcia swoich danych osobowych.
• Prawo do przenoszenia danych - otrzymanie danych w formacie nadającym się do odczytu maszynowego.
• Prawo do ograniczenia przetwarzania - żądanie ograniczenia przetwarzania danych.
• Prawo do sprzeciwu - sprzeciw wobec przetwarzania opartego na uzasadnionym interesie.
• Prawo do wycofania zgody - wycofanie zgody w dowolnym momencie, gdy przetwarzanie opiera się na zgodzie.
• Prawo do złożenia skargi - złożenie skargi do właściwego organu ochrony danych osobowych (patrz sekcja Organ nadzorczy).

Aby skorzystać z któregokolwiek ze swoich praw, wyślij e-mail na adres tomek@classkasa.com z tematem „Wniosek RODO”. Prosimy o podanie adresu e-mail, pod którym się zarejestrowałeś, abyśmy mogli zweryfikować Twoją tożsamość. Odpowiemy w ciągu jednego miesiąca od otrzymania wniosku, zgodnie z art. 12 ust. 3 RODO. W przypadku złożonych wniosków możemy przedłużyć ten termin o dwa dodatkowe miesiące, o czym poinformujemy.

Wiodącym organem nadzorczym ClassKasa jest Prezes Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, Polska (https://uodo.gov.pl). Niezależnie od miejsca zamieszkania masz prawo złożyć skargę do organu nadzorczego w państwie członkowskim UE/EOG, w którym zwykle przebywasz, pracujesz lub w którym doszło do domniemanego naruszenia (art. 77 RODO).

W przypadku naruszenia ochrony danych osobowych stwarzającego ryzyko dla Twoich praw powiadomimy właściwy organ nadzorczy w ciągu 72 godzin (art. 33 RODO). Jeśli naruszenie może spowodować wysokie ryzyko dla Ciebie, powiadomimy Cię bezpośrednio bez zbędnej zwłoki (art. 34 RODO).

ClassKasa jest przeznaczona dla dorosłych użytkowników (18+). Jeśli skarbnik wprowadza imię dziecka jako element listy klasy (np. „Klasa 3B - Leoś K.”), takie dane są przetwarzane w ramach współadministrowania opisanego powyżej. ClassKasa nie zbiera świadomie danych osobowych od dzieci poniżej 16 roku życia. Jeśli uważasz, że dane osobowe małoletniego zostały przetworzone bez odpowiedniej zgody, skontaktuj się z nami pod adresem tomek@classkasa.com.

ClassKasa używa minimalnego zestawu plików cookie, wszystkie niezbędne do działania usługi:

• ck_token - Ściśle niezbędny. Zawiera zaszyfrowaną sesję uwierzytelniania. Wygasa po wylogowaniu.
• ck_logged_in - Funkcjonalny. Prosty znacznik (bez danych wrażliwych) informujący, czy jesteś zalogowany - służy tylko do wyświetlania interfejsu.
• ck_locale - Funkcjonalny. Przechowuje preferowany język, żeby strona przy każdej wizycie wyświetlała się w Twoim języku.

Twoje dane są głównie przechowywane i przetwarzane w Unii Europejskiej (baza danych Neon we Frankfurcie, hosting Netlify w UE). Niektóre podmioty przetwarzające (Resend, Stripe, Anthropic) mogą przetwarzać dane w Stanach Zjednoczonych, a nasi partnerzy reklamowi (Meta, TikTok, Google) mogą przetwarzać poza UE zahashowane sygnały marketingowe opisane w sekcji Reklama, wysyłane wyłącznie za Twoją zgodą. Transfery te są zabezpieczone na podstawie EU-US Data Privacy Framework (DPF), jeśli dostawca posiada certyfikat, lub na podstawie Standardowych Klauzul Umownych (SKU) zatwierdzonych przez Komisję Europejską. Szczegóły w sekcjach Podmioty przetwarzające i Reklama.

W sprawach dotyczących prywatności lub w celu skorzystania z przysługujących Ci praw skontaktuj się z nami pod adresem tomek@classkasa.com.

Jeśli klikniesz „Akceptuj wszystkie” na banerze ciasteczek, ClassKasa dzieli się drobnymi sygnałami z Metą (Facebook + Instagram), TikTokiem i Google, żeby przestali pokazywać Ci reklamy rzeczy, których nigdy nie chcesz, a zaczęli pokazywać naszą aplikację rodzicom takim jak Ty.

Jeśli masz włączoną zgodę marketingową, możemy wysłać Mecie i TikTokowi także kilka zdarzeń z konta, które dzieją się między odwiedzinami - na przykład koniec darmowego okresu próbnego albo zakup Premium - używając tych samych zahashowanych identyfikatorów. Tag Google działa wyłącznie w Twojej przeglądarce, więc tych zdarzeń nigdy nie dostaje. Wycofanie zgody natychmiast to zatrzymuje.

Pomiarem reklam TikToka zajmuje się TikTok Technology Limited (Dublin, Irlandia). Część tych danych może być przetwarzana poza UE (w tym w Stanach Zjednoczonych i Singapurze) na podstawie Standardowych Klauzul Umownych UE - a przeglądarkę opuszczają tylko zahashowane identyfikatory opisane powyżej.

Pomiarem naszych reklam Google zajmuje się Google Ireland Limited (Dublin, Irlandia). Część tych danych może być przetwarzana poza UE (w tym w Stanach Zjednoczonych) na podstawie EU-US Data Privacy Framework albo Standardowych Klauzul Umownych UE. Na razie tag Google widzi tylko, które strony u nas otwierasz i z której reklamy przychodzisz; jeśli kiedyś włączymy dopasowanie po zahashowanym mailu, będzie to ten sam hash SHA-256 opisany powyżej, a to dopasowanie wyłącza ten sam przełącznik ciasteczek.

Czym się dzielimy

Hashowany mail i IP, typ przeglądarki, strona, na którą trafiasz, oraz nazwy zdarzeń w aplikacji (rejestracja, utworzenie klasy, płatność). Twój mail hashujemy (SHA-256), zanim w ogóle trafi do Mety, TikToka albo Google - prawdziwego adresu nikt tam nie zobaczy. Gdy kupujesz Premium, przekazujemy im też cenę, którą płacisz - dzięki temu widzimy, które reklamy na siebie zarabiają.

Możesz zmienić zdanie w każdej chwili na naszej stronie ciasteczek.