Administrator i kontakt
Administratorem danych osobowych jest Specjalistyczne Centrum Edukacji EDU-MACH sp. z o.o., ul. Wyzwolenia 6/12, 06-400 Ciechanów, Polska, KRS 0000473886, NIP 5662012217, REGON 146827841, kapitał zakładowy 5 000,00 zł, e-mail info@edumach.pl, telefon 535-111-665, poniedziałek–piątek w godzinach 8:00–16:00, dalej „Administrator”.
Kontakt we wszystkich sprawach ochrony danych: info@edumach.pl.
Zakres polityki
Polityka dotyczy danych przetwarzanych w sklepie edumach.pl, w obsłudze płatności, certyfikatów, formularzy, newslettera, opinii, cookies, pomocy technicznej i sprzedaży dla szkół. Informacja jest kierowana do klientów, uczestników, osób kontaktowych po stronie szkół, subskrybentów i odwiedzających stronę.
Cele, dane, podstawy i retencja
| Cel | Typowe dane | Podstawa | Proponowany okres – do zatwierdzenia |
|---|---|---|---|
| Obsługa koszyka i zawarcie umowy | imię, nazwisko, e-mail, telefon, adres, dane zamówienia | art. 6 ust. 1 lit. b RODO | czas zawarcia i wykonania umowy, następnie okres roszczeń |
| Konto Sklepu | identyfikator, e-mail, imię, nazwisko, status dostępu, logi logowania | art. 6 ust. 1 lit. b RODO; bezpieczeństwo – lit. f | czas konta i dostępu, następnie okres 3 lat po wykonaniu umowy |
| Dostarczenie kursu i postęp | kurs, aktywności, wyniki testów, ukończenie, certyfikat | art. 6 ust. 1 lit. b RODO | okres dostępu + 3 lata po wykonaniu umowy |
| Bezpłatny moduł | imię, nazwisko, e-mail, opcjonalny telefon, aktywność | art. 6 ust. 1 lit. b RODO lub działania na żądanie osoby | dostęp może zostać wyłączony po 60 dniach; dalsza retencja konta i logów zgodnie z harmonogramem po zatwierdzeniu |
| Webinar i Teams | dane konta, obecność, czat, wizerunek/głos dobrowolnie udostępniony, nagranie | art. 6 ust. 1 lit. b; w określonych przypadkach lit. a lub f | nagranie i certyfikat dostępne uczestnikowi 14 dni; retencja źródłowa nagrań, list i czatu [DO UZUPEŁNIENIA] |
| Płatność | kwota, status, identyfikator transakcji, ograniczone dane płatnika | art. 6 ust. 1 lit. b i c | zgodnie z prawem księgowym i podatkowym |
| Faktura i księgowość | dane nabywcy, adres, NIP, dokumenty księgowe | art. 6 ust. 1 lit. c RODO | przez ustawowy okres przechowywania dokumentacji podatkowej |
| Certyfikat papierowy i wysyłka | imię, nazwisko, kurs, adres wysyłki | art. 6 ust. 1 lit. b RODO | realizacja wysyłki + roszczenia; dokument księgowy zgodnie z prawem |
| Reklamacje, odstąpienia i spory | dane kontaktowe, zamówienie, korespondencja, dowody | art. 6 ust. 1 lit. b, c i f | do zakończenia sprawy i przedawnienia roszczeń |
| Pomoc techniczna | e-mail, identyfikatory konta, opis problemu, logi techniczne | art. 6 ust. 1 lit. b i f | 12 miesięcy, dłużej gdy zgłoszenie jest dowodem |
| Formularz kontaktowy i oferty dla szkół | imię, dane służbowe, treść zapytania | art. 6 ust. 1 lit. b lub f | czas obsługi I do 12 miesięcy |
| Marketing własnych usług, newsletter i e-book | e-mail, opcjonalny telefon, historia zakupów, preferencje, potwierdzenie double opt-in, treść i wersja zgody | art. 6 ust. 1 lit. f RODO w zakresie dopuszczalnego marketingu własnego; dla komunikacji elektronicznej art. 6 ust. 1 lit. a RODO i art. 398 PKE | do sprzeciwu lub wycofania zgody; dowód zgody przez okres roszczeń |
| Opinie zweryfikowanych nabywców | imię/pseudonim, ocena, treść, powiązanie z zakupem, dane moderacji | art. 6 ust. 1 lit. f; publikacja danych opcjonalnych – lit. a, jeżeli właściwe | czas publikacji i obsługi roszczeń |
| Bezpieczeństwo i nadużycia | IP, czas, user-agent, identyfikatory sesji, logi zdarzeń | art. 6 ust. 1 lit. f RODO | standardowo 90 dni, dłużej dla incydentu lub roszczenia |
| Analityka opcjonalna | identyfikatory online, zdarzenia bez danych bezpośrednio identyfikujących | art. 6 ust. 1 lit. a RODO i art. 399 PKE | zgodnie z tabelą cookies i zgodą |
| Ustalenie i obrona roszczeń | dane z umów, logów i korespondencji | art. 6 ust. 1 lit. f RODO | do przedawnienia roszczeń oraz zakończenia postępowania |
Jakie dane są obowiązkowe
- Dane oznaczone jako wymagane przy zakupie są potrzebne do zawarcia lub wykonania umowy albo wystawienia dokumentu księgowego. Bez nich realizacja może być niemożliwa.
- Dla bezpłatnego modułu należy wymagać wyłącznie danych niezbędnych do utworzenia konta i udostępnienia treści.
- Dane do faktury firmowej są obowiązkowe tylko wtedy, gdy klient żąda faktury na przedsiębiorcę.
- Zgoda marketingowa i cookies opcjonalne są dobrowolne.
Źródła danych
Dane otrzymujemy bezpośrednio od osoby, od nabywającej dostęp szkoły lub pracodawcy, z systemu płatności, z logów technicznych systemów EDU-MACH oraz z aktywności uczestnika w kursie. Gdy szkoła przekazuje dane uczestnika, szkoła odpowiada za podstawę udostępnienia i przekazanie wymaganej informacji, a EDU-MACH realizuje własny obowiązek informacyjny przy pierwszym kontakcie, jeżeli jest wymagany.
Sklep i konto klienta
Platforma kursowa i automatyczny zapis
- W celu wykonania umowy do Platformy kursowej przekazywane są co najmniej: imię, nazwisko, adres e-mail, identyfikator kursu, typ i okres dostępu, status zapisu oraz techniczny identyfikator zamówienia.
- Platforma kursowa przechowuje także aktywności, wyniki egzaminów, status ukończenia i informacje potrzebne do certyfikatu.
- Sklep i Platforma kursowa są utrzymywane przez zewnętrznego dostawcę hostingu z siedzibą w Polsce, działającego jako podmiot przetwarzający w zakresie hostingu; dane hostingowe są przechowywane na serwerach zlokalizowanych w Polsce.
- Okres przechowywania konta i postępów: do momentu usunięcia. Usunięcie konta podlega ocenie z uwzględnieniem certyfikatów, dokumentacji wykonania umowy, roszczeń i obowiązków prawnych.
Microsoft Teams
- Webinary są realizowane w Microsoft Teams. Microsoft może otrzymywać identyfikatory konta, dane urządzenia i połączenia, a podczas udziału także nazwę wyświetlaną, czat, głos lub wizerunek, jeżeli uczestnik je udostępni.
- Kamera i mikrofon nie są wymagane, chyba że przed zakupem wskazano inaczej. Uczestnik może posługiwać się nazwą wyświetlaną zgodną z zasadami identyfikacji. Dopuszczalne jest korzystanie z pseudonimów.
- Jeżeli webinar jest nagrywany, informacja o nagraniu, celu, zakresie, odbiorcach i okresie dostępności jest podawana przed wejściem do spotkania.
Odbiorcy i podmioty przetwarzające
Dane mogą otrzymywać wyłącznie podmioty potrzebne do określonych celów, w szczególności:
- dostawca hostingu sklepu i platformy kursowej z siedzibą w Polsce;
- operator płatności Autopay S.A., ul. Powstańców Warszawy 6, 81-718 Sopot, KRS 0000320590, NIP 5851351185, REGON 191781561, oraz banki uczestniczące w realizacji płatności;
- dostawca usług poczty elektronicznej, SMTP i newslettera;
- Microsoft jako dostawca Teams/Microsoft 365, zgodnie z ustalonymi rolami;
- biuro rachunkowe, kancelaria, audytorzy i dostawcy wsparcia IT na podstawie umowy i upoważnienia;
- operator pocztowy lub kurierski przy certyfikacie papierowym;
- organy publiczne, gdy wynika to z prawa.
Administrator prowadzi rejestr dostawców i zawiera umowy powierzenia, gdy wymaga tego art. 28 RODO.
Płatności Autopay i dane kart
- Autopay obsługuje płatności elektroniczne, w tym karty płatnicze, BLIK i szybkie przelewy, w zakresie wybranym przez klienta i dostępnym w checkout.
- EDU-MACH przekazuje operatorowi dane niezbędne do realizacji i rozliczenia płatności, w szczególności identyfikator zamówienia, kwotę, walutę, status transakcji oraz ograniczone dane płatnika wymagane przez operatora.
- Pełne dane karty są wprowadzane i obsługiwane w środowisku operatora płatności. EDU-MACH nie otrzymuje ani nie przechowuje pełnego numeru karty, kodu CVC/CVV ani danych uwierzytelniających.
- Zakres roli Autopay, retencję, reklamacje płatnicze i ewentualnych dalszych odbiorców określają dokumenty operatora.
Hosting i lokalizacja danych
Zewnętrzny dostawca hostingu utrzymuje sklep i platformę kursową; dane hostingowe są przechowywane na serwerach zlokalizowanych w Polsce. Należy potwierdzić umowę powierzenia, lokalizacje kopii zapasowych, podwykonawców, retencję oraz procedurę usunięcia danych. Informacja o lokalizacji hostingu nie przesądza o lokalizacji danych przetwarzanych przez Microsoft, Autopay, pocztę, newsletter ani inne odrębne usługi.
Transfery poza Europejski Obszar Gospodarczy
Jeżeli dostawca przetwarza dane poza EOG, transfer opiera się na decyzji stwierdzającej odpowiedni stopień ochrony, standardowych klauzulach umownych albo innej podstawie z rozdziału V RODO.
Prawa osób
Osobie przysługują, na warunkach określonych w RODO:
- dostęp do danych i otrzymanie ich kopii;
- sprostowanie danych;
- usunięcie danych;
- ograniczenie przetwarzania;
- przenoszenie danych;
- sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie;
- cofnięcie zgody w dowolnym momencie, bez wpływu na zgodność wcześniejszego przetwarzania;
- skarga do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl/.
Żądanie można złożyć na info@edumach.pl. Administrator może poprosić o informacje niezbędne do bezpiecznego potwierdzenia tożsamości. Odpowiada bez zbędnej zwłoki, co do zasady w ciągu miesiąca.
Zautomatyzowane decyzje i profilowanie
Nie wystepują decyzje wywołujące skutki prawne lub podobnie istotne podejmowane w sposób zautomatyzowany. Profilowanie nie jest prowadzone.
Marketing własnych usług
- EDU-MACH może wykorzystywać dane klientów do marketingu własnych kursów, webinarów i usług edukacyjnych w granicach prawnie uzasadnionego interesu, z prawem wniesienia w każdym czasie sprzeciwu wobec marketingu bezpośredniego.
- Wysyłanie informacji handlowych i prowadzenie marketingu bezpośredniego za pomocą e-maila, telefonu lub innych urządzeń końcowych wymaga odrębnej, dobrowolnej zgody w zakresie wymaganym przez Prawo komunikacji elektronicznej. Odmowa nie wpływa na zakup ani dostęp do bezpłatnego modułu.
- Historia zakupów i aktywność mogą służyć do doboru informacji o własnych usługach tylko w zakresie opisanym w tej polityce. Firma nie prowadzi profilowania marketingowego.
Newsletter i komunikacja marketingowa
- Newsletter jest wysyłany po dobrowolnej zgodzie.
- Zgoda jest zapisywana wraz z treścią, wersją, datą, kanałem i technicznym dowodem potwierdzenia. Można ją wycofać linkiem w każdej wiadomości.
- Wiadomości transakcyjne i organizacyjne, konieczne do wykonania umowy, nie są newsletterem. Nie należy umieszczać w nich marketingu bez odpowiedniej podstawy.
Cookies i analityka
Niezbędne technologie są używane do koszyka, logowania, bezpieczeństwa i żądanej usługi. Cookies analityczne, marketingowe i inne opcjonalne są uruchamiane dopiero po uprzedniej zgodzie zgodnie z Prawem komunikacji elektronicznej i RODO. Szczegóły, dostawców, cele i retencję zawiera Polityka cookies.
Bezpieczeństwo
Administrator stosuje środki adekwatne do ryzyka, w szczególności szyfrowanie transmisji HTTPS, kontrolę dostępu, MFA dla administratorów, aktualizacje, kopie bezpieczeństwa, ograniczenie logów, rotację tokenów, monitoring zdarzeń, umowy i upoważnienia. Bezpieczeństwo nie oznacza bezwzględnej gwarancji; incydenty są obsługiwane według udokumentowanej procedury.
Dane dzieci
Oferta jest kierowana przede wszystkim do pełnoletnich nauczycieli i pracowników oświaty.
Zmiany polityki
Polityka obowiązuje od 16.08.2026 r., wersja 1.0. Istotne zmiany są komunikowane odpowiednio do ich wpływu; nowej zgody wymaga się, gdy zmienia się cel lub warunki przetwarzania opartego na zgodzie.