1. Адміністратор
Адміністратором даних, які збираються на сайті cerium-app.com і в панелі app.cerium-app.com в описаному нижче обсязі, є IT Maciej Bodnar, NIP 5243050733, що працює під брендом fire-gem. З питань щодо даних пишіть на [email protected].
2. Дві ролі: адміністратор і обробник
Щодо даних, які Школа вносить до системи або збирає на своїх публічних сторінках (форма запису, опитування, тест, посилання на оплату), адміністратором є Школа, а ми обробляємо їх як обробник за її дорученням і на підставі договору доручення обробки, що є частиною угоди. Якщо ви учень, один із батьків або працівник школи, із запитом щодо цих даних звертайтеся до школи; якщо такий запит надійде до нас, ми передамо його школі. Ми не заходимо в робочий простір школи. Ми бачимо використання лімітів, список осіб із датою останньої активності та пристроями, на яких виконано вхід, звернення, надіслані нам, а також журнал доставки пошти (адреса одержувача й тема, без змісту). На прохання Школи ми готуємо пакет її даних для завантаження. Ця політика описує дані, адміністратором яких є ми самі.
3. Які дані і навіщо
Форми зв'язку та запиту на демонстрацію: ім'я, адреса e-mail, телефон, назва школи, кількість учнів і текст повідомлення, щоб відповісти й домовитися про демонстрацію (ст. 6 ч. 1 п. b і f GDPR); ми не зберігаємо їх у базі, вони надходять на нашу поштову скриньку. Договір і підписка: дані компанії або особи та контактної особи, фактури й підтвердження укладення договору (ім'я та прізвище, e-mail, IP-адреса, момент укладення і копія прийнятого тексту) для виконання договору, податкових обов'язків і захисту від претензій (п. b, c і f). Облікові записи користувачів: адреса e-mail, ім'я та прізвище, пароль у вигляді хешу, мова, IP-адреса й браузер під час сесії та день останньої активності в просторі для надання послуги й безпеки (п. b і f). Звернення до Підтримки та листування: зміст, дані особи, яка звертається, браузер і доданий знімок екрана для обслуговування клієнтів (п. f).
4. Діти й онлайн-заняття
Облікові записи учнів, зокрема неповнолітніх, і їхніх батьків створює лише школа; підставою обробки є її договір зі слухачем, а не згода дитини. Батьки мають власний обліковий запис і бачать дані своїх дітей. Онлайн-заняття проходять через наш відеосервер у Польщі й не записуються; ми зберігаємо лише, хто і коли був у кімнаті, як підказку для відмітки присутності.
5. Файли cookie
Сайт і панель використовують лише файли, потрібні для роботи та для збереження ваших налаштувань: сесія після входу (__Host-cerium-app-rv2_session, до 30 днів), мова (cerium_app_rv2_locale), світла чи темна тема (cerium_app_rv2_motyw і пов'язані, на сайті cerium_landing_motyw), стан меню та вибране подання екрана (sidebar_state, journal_scope, journal_view, projects_view). Панель також зберігає в пам'яті браузера вигляд таблиць. Ми не використовуємо аналітичних інструментів, рекламних пікселів і профілювання, тому не показуємо банера згоди. Виняток: відео з YouTube або Vimeo, яке школа вбудувала на дошку, працює за правилами цього сервісу.
6. Одержувачі даних
Сервери застосунку й баз даних належать нам і розташовані в Польщі; там само працює сервер онлайн-занять. Дані отримують постачальники, без яких послуга не працює: Cloudflare (мережа, через яку проходить трафік до сайту й панелі), Hetzner Online GmbH (зберігання файлів у Німеччині), Zoho (пошта: скринька [email protected] у Zoho Mail і листи із системи через ZeptoMail, центр обробки даних у ЄС) і Stripe (підписка Cerium; онлайн-платежі школи проходять через її власний акаунт Stripe). Кожен із них обробляє дані на умовах доручення обробки й не може використовувати їх для власних цілей. Про зміни в цьому списку ми попереджаємо школи щонайменше за 14 днів.
7. Передавання за межі Європейської економічної зони
Частина постачальників належить до груп за межами ЄЕЗ: материнські компанії Cloudflare і Stripe розташовані в США. Передавання відбувається на підставі рішення Європейської комісії про належний рівень захисту (EU-US Data Privacy Framework) або стандартних договірних положень. Файли й пошта залишаються в ЄС.
8. Як довго ми зберігаємо дані
Запити з форм: до завершення справи, щонайбільше 12 місяців. Звернення до Підтримки: до 12 місяців. Фактури: 5 років від кінця року їх виставлення. Підтвердження укладення договору: протягом дії договору й до спливу строку давності претензій. Дані робочого простору школи: протягом дії договору й 90 днів після його розірвання. Обліковий запис без доступу до жодної школи: видаляємо після 180 днів без входу. Сесія: щонайбільше 30 днів, 14 без активності. Щоденний слід активності: 90 днів. Сповіщення в панелі: 60 днів. Журнали серверів оновлюються протягом кількох днів, а Cloudflare обробляє IP-адреси згідно з власною політикою. Резервні копії ми робимо щодня і зберігаємо 14 днів, тож видалені дані зникають із них не пізніше ніж через цей час.
9. Чи обов'язково надавати дані
Надання даних добровільне, але без адреси e-mail ми не зможемо відповісти на запит чи створити обліковий запис, а без даних для договору не зможемо його укласти. Ми не ухвалюємо щодо нікого рішень, що ґрунтуються лише на автоматизованій обробці, і не здійснюємо профілювання.
10. Мовна модель (OpenAI) і чат допомоги
Дві функції панелі використовують мовну модель постачальника OpenAI. AI-коментар до звіту учня увімкнено за замовчуванням, власник Школи може вимкнути його в Налаштуваннях. У такому разі до моделі надходить статистика відвідуваності, оцінок і завдань, а також нотатки викладача, з яких вилучено імена, прізвища, назву школи й групи, адреси e-mail, телефони та номери PESEL. Вилучення має межі: зменшувальне ім'я або дані осіб поза реєстрами Школи можуть залишитися в тексті нотатки, тому не вписуйте в нотатки даних, які не хочете передавати далі. Чат допомоги в панелі надсилає до моделі питання, яке ввів користувач, його роль і фрагменти посібників; не вводьте в ньому персональних даних. Ми просимо постачальника не зберігати запити. Коментар пропонує модель, а викладач читає і затверджує його перед видачею звіту. Сторону договору, місце обробки й підставу передавання за межі ЄЕЗ наведено на сторінці субобробників.
11. Сповіщення в браузері
Якщо ви самі ввімкнете сповіщення в браузері, ми зберігаємо його підписку (адресу push-сервісу й ключі шифрування) разом з обліковим записом, а спливне вікно з коротким текстом сповіщення надсилається через push-сервіс виробника браузера, наприклад Google, Mozilla, Microsoft або Apple. Вміст зашифровано, тож сервіс бачить зашифроване повідомлення, адресу підписки й час, але не те, що в ньому написано. Вимкнути сповіщення можна в налаштуваннях браузера або в розділі «Обліковий запис», а підписку ми видалимо разом з обліковим записом. Докладніше на сторінці субобробників.
12. Ваші права
Ви маєте право на доступ до даних, їх виправлення, видалення, обмеження обробки, перенесення, а також право заперечити проти обробки на підставі законного інтересу. Надішліть запит на [email protected]; ми відповідаємо протягом місяця. Ви також можете подати скаргу Голові Управління із захисту персональних даних (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warszawa.
13. Безпека
З'єднання зашифровані, паролі зберігаються лише у вигляді хешів, дані кожної школи відокремлені на рівні бази даних, а доступ до серверів мають лише ті, кому він потрібен. Сервери розташовані в Польщі, а резервні копії ми робимо щодня. Про порушення, яке може стосуватися ваших прав, ми повідомимо без зайвої затримки.
14. Зміни політики
Ми оновлюємо політику, коли змінюється обсяг послуги або законодавство. Актуальна версія завжди доступна за цією адресою, дата набрання чинності вказана вгорі.