Polityka prywatności

1. Administrator danych

Administratorem danych osobowych przetwarzanych w aplikacji KlasyKasa jest Piotr Zalewa, prowadzący działalność gospodarczą pod firmą Piotr Zalewa NOD, ul. Kamykowa 6, 87-134 Rozgarty, NIP 8791049974, REGON 870598601, wpisany do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (dalej: "Operator"). Z Operatorem można skontaktować się pod adresem e-mail contact@nod.consulting.

2. Kategorie przetwarzanych danych

W zakresie konta skarbnika:

• adres e-mail oraz imię i nazwisko (jeśli zostały podane przez dostawcę logowania);
• czas założenia konta i czas akceptacji regulaminu;
• preferowany język interfejsu.

W zakresie danych wprowadzanych przez skarbnika:

• nazwy klas i lista uczniów (imię, nazwisko, opcjonalnie inicjały do raportów publicznych);
• ewidencja zbiórek, wpłat i wydatków oraz dane rozliczeniowe;
• adresy e-mail rodziców/opiekunów wprowadzone przez skarbnika do udostępniania raportów lub komunikacji.

W zakresie rozliczeń za korzystanie z Usługi:

• dane profilu nabywcy faktury: typ nabywcy (osoba prywatna / firma), imię i nazwisko lub nazwa firmy, adres, opcjonalnie NIP i REGON;
• historia płatności za Usługę (identyfikatory płatności u operatora płatności Stripe, kwoty, daty, status zwrotów) oraz wystawione faktury wraz z migawką danych nabywcy z chwili zakupu.

Dane karty płatniczej lub BLIK nie są przetwarzane przez Usługę — podajesz je wyłącznie w formularzu operatora płatności Stripe.

W zakresie technicznym:

• adres IP i identyfikator sesji w trakcie logowania (mechanizm anty-bot);
• dziennik zdarzeń w aplikacji (audit log) zawierający odniesienia do operacji wykonanych przez użytkownika.

3. Cele i podstawy prawne przetwarzania

4. Odbiorcy danych

Dane są przekazywane następującym podmiotom przetwarzającym (procesorom) na podstawie umów powierzenia (DPA):

• Vercel — hosting i edge runtime aplikacji
• Neon — baza danych Postgres
• Brevo — wysyłka transakcyjnych wiadomości e-mail (linki logowania, powiadomienia związane z płatnościami i fakturami)
• Stripe — obsługa płatności za Usługę (dane płatnicze podajesz bezpośrednio Stripe; do Usługi trafiają identyfikatory i statusy płatności)
• Cloudflare — Turnstile (anty-bot na ekranie logowania) oraz magazyn R2 (zaszyfrowane kopie zapasowe bazy danych i zaszyfrowane artefakty faktur)
• Google — dostawca logowania OAuth (jeśli wybierzesz logowanie przez Google)
• Apple — dostawca logowania OAuth (jeśli wybierzesz logowanie przez Apple)

Pełna lista procesorów wraz z rolami i lokalizacjami przetwarzania jest utrzymywana w pliku docs/legal/processors.md w repozytorium aplikacji i pozostaje spójna z niniejszą polityką.

Niezależnie od powyższej listy, dane zawarte na fakturach (imię i nazwisko lub nazwa firmy, adres, NIP) są przekazywane do Krajowego Systemu e-Faktur (KSeF) prowadzonego przez Ministerstwo Finansów — w wykonaniu obowiązku prawnego (art. 6 ust. 1 lit. c RODO). Ministerstwo Finansów działa w tym zakresie jako odrębny administrator danych.

5. Okres przechowywania

• Dane konta i ewidencji — przez okres aktywnego konta. Po usunięciu konta dane są nieodwracalnie usuwane w pojedynczej transakcji bazodanowej.
• Dziennik zdarzeń (audit log) — po usunięciu konta historyczne wpisy pozostają w formie zanonimizowanej (powiązanie z użytkownikiem i klasą zostaje zerwane); same wpisy są zachowywane w celach forensycznych zgodnie z art. 6 ust. 1 lit. f RODO.
• Kopie zapasowe — kopia logiczna bazy danych przechowywana jest do 30 dni dla cyklu tygodniowego oraz do 12 miesięcy dla migawek miesięcznych. Usunięte dane znikają z najnowszych kopii niezwłocznie; w starszych kopiach pozostają do końca cyklu retencji.
• Faktury i powiązane dane rozliczeniowe — przez okres wymagany przepisami podatkowymi (co do zasady 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku); niezależnie od tego KSeF przechowuje faktury przez 10 lat. Dane te — w odróżnieniu od danych konta i ewidencji — nie są usuwane wraz z usunięciem konta, ponieważ ich retencja wynika z obowiązku prawnego (art. 6 ust. 1 lit. c RODO).

6. Prawa osoby, której dane dotyczą

Przysługuje Ci prawo do:

• dostępu do swoich danych (art. 15 RODO);
• sprostowania (art. 16 RODO);
• usunięcia ("prawo do bycia zapomnianym", art. 17 RODO) — realizowane samoobsługowo z poziomu ustawień konta;
• przenoszenia danych (art. 20 RODO) — realizowane samoobsługowo poprzez funkcję eksportu w ustawieniach konta;
• sprzeciwu wobec przetwarzania (art. 21 RODO);
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

W zakresie danych dzieci wprowadzonych przez skarbnika do ewidencji klasowej, prawa te realizuje skarbnik na zlecenie opiekuna dziecka — usunięcie pojedynczego rekordu ucznia jest dostępne z poziomu ustawień klasy.

7. Pliki cookies

Aplikacja używa wyłącznie plików cookies niezbędnych do działania i zapamiętania preferencji: ciasteczka sesji i bezpieczeństwa logowania (NextAuth), anty-bot Cloudflare Turnstile (tylko na ekranie logowania) oraz ciasteczka preferencji — wybór języka i ostatnio otwarta klasa.

Nie używamy cookies analitycznych ani marketingowych, dlatego aplikacja nie wyświetla bannera cookie — dla cookies ściśle niezbędnych RODO/PECR go nie wymaga.

8. Zmiany polityki prywatności

Operator może zmienić niniejszą Politykę za uprzednim powiadomieniem Użytkowników. W przypadku zmian materialnych (poszerzenie zakresu przetwarzania, dodanie procesora) Użytkownik zostanie poproszony o ponowną akceptację.

9. Kontakt

Pytania dotyczące przetwarzania danych można kierować na adres e-mail contact@nod.consulting.