1. Administrator i kontakt
Administratorem danych przetwarzanych przez Naukado jest x1 technologies. NIP: 1251792192 · REGON: 542436628. Dane administratora i kontakt.
Ta polityka opisuje nową wersję Naukado (NEXT). Korzystanie ze starszej aplikacji ma odrębne informacje prawne; konto, logowanie i uprawnienia Premium są jednak wspólne. Dlatego niektóre dane konta i zakupów służą obu wersjom, a usunięcie wspólnego konta obejmuje również starsze dane. Polityka jest informacją o przetwarzaniu, nie zgodą na wszystkie jego cele.
2. Jakie dane otrzymujemy
Od Ciebie otrzymujemy adres e-mail, dane podane przy rejestracji, język i wybrane preferencje nauki, tematy i polecenia, przesłane pliki, zdjęcia, nagrania, tekst, notatki, pytania i odpowiedzi. Powstają również odczytane i wygenerowane treści, historia lekcji i rozmów, wyniki ćwiczeń, postęp oraz powtórki. Zapisujemy decyzje dotyczące regulaminu i dobrowolnych zgód wraz z wersją dokumentu, językiem i czasem zdarzenia.
W zależności od wybranej metody Apple lub Google przekazują identyfikator konta oraz udostępniony adres e-mail i dane profilu; Apple może użyć adresu pośredniczącego. Sklep i RevenueCat dostarczają informacje o zakupie, produkcie, okresie, odnowieniu i uprawnieniu Premium. Nie otrzymujemy pełnego numeru karty płatniczej. Systemy techniczne przetwarzają także identyfikatory sesji, adres IP, informacje o urządzeniu, systemie i wersji aplikacji, zdarzenia bezpieczeństwa, błędy i ograniczenia użycia. Wiadomość do pomocy zawiera podany adres do odpowiedzi i treść zgłoszenia.
3. Cele i podstawy prawne
Konto i nauka: rejestracja, uwierzytelnianie, przechowywanie materiałów, tworzenie wybranych treści AI, Tutor, ćwiczenia, postęp, preferencje i synchronizacja służą wykonaniu umowy lub działaniom na Twoje żądanie przed jej zawarciem — art. 6 ust. 1 lit. b RODO. Podobnie obsługujemy Premium i przywracanie uprawnień.
Pomoc i reklamacje: wykonanie umowy — lit. b; obowiązki dotyczące reklamacji i praw ochrony danych — lit. c; ustalenie, dochodzenie lub obrona roszczeń — lit. f. Bezpieczeństwo i niezawodność: ograniczanie nadużyć, ochrona sesji, rozstrzyganie niepewnych operacji i diagnostyka błędów opierają się na naszym prawnie uzasadnionym interesie zapewnienia bezpiecznej i działającej usługi — lit. f. Obowiązki podatkowe i rachunkowe: lit. c w zakresie danych rzeczywiście objętych takim obowiązkiem.
Opcjonalne e-maile o nauce: dobrowolna zgoda — lit. a, wraz z wymaganą zgodą na komunikację elektroniczną. Dowody akceptacji i wyboru zgód przechowujemy dla wykazania zawarcia umowy, wykonania obowiązków i rozliczalności; nie oznacza to używania zgody jako podstawy całej usługi. Nie sprzedajemy danych w ramach tej usługi ani nie udostępniamy ich reklamodawcom w celu wyświetlania reklam w NEXT.
4. Dane wykorzystywane przez AI
Funkcje AI korzystają z OpenAI. W zależności od funkcji przekazujemy temat i instrukcję, wybrany tekst lub fragmenty materiału, pytania i kontekst rozmowy z Tutorem, odpowiedzi oraz kontekst nauki. Odczyt może wymagać przekazania treści zdjęć, dokumentów lub nagrań. Nazwa materiału powstaje z tematu lub fragmentów tekstu; grafika edukacyjna z opisu wynikającego z tematu i lekcji. Wynik zapisujemy dla wybranej funkcji.
Materiał i rozmowa mogą zawierać dane osobowe umieszczone przez Ciebie lub inne osoby. Przekazuj tylko potrzebną treść; usuń zbędne identyfikatory i informacje poufne. Nie przesyłaj szczególnych kategorii danych, np. własnych danych o zdrowiu, jeśli nie jest to konieczne i nie masz właściwej podstawy do ich udostępnienia. Sam temat nauki biologii nie oznacza danych o Twoim zdrowiu. Nie wymagamy ujawniania takich danych do nauki.
Odczyt i odpowiedzi mogą być błędne. Korzystanie z API nie oznacza, że dane są przetwarzane wyłącznie na Twoim urządzeniu, zawsze w Europejskim Obszarze Gospodarczym lub z zerową retencją po stronie dostawcy. Nie przedstawiamy każdego wyniku jako niezależnie zweryfikowanego przez człowieka.
5. Odbiorcy i dostawcy usług
Dane otrzymują w niezbędnym zakresie dostawcy uczestniczący w wykonaniu danej funkcji: OpenAI — AI i odczyt; Neon — baza danych; Cloudflare R2 — przechowywanie plików i grafik; Hostinger — serwery i hosting; Titan — obsługa e-maili; Sentry — diagnostyka błędów; RevenueCat — obsługa informacji o subskrypcjach i uprawnieniach. Apple i Google uczestniczą w wybranym logowaniu, zakupach oraz dostarczaniu powiadomień przez właściwe usługi systemowe. Nie każdy dostawca otrzymuje materiał lub treść rozmowy.
Dostawcy infrastruktury przetwarzają dane potrzebne do zleconej funkcji. Apple i Google prowadzą także własne konta, sklepy i rozliczenia jako odrębni administratorzy zgodnie ze swoimi politykami. W uzasadnionych przypadkach odbiorcami mogą być uprawnione organy, doradcy prawni lub podmioty obsługujące księgowość — tylko w zakresie konkretnego obowiązku lub sprawy. Włączenie funkcji nie oznacza publicznego opublikowania prywatnego materiału.
6. Miejsce przetwarzania i transfery
Baza danych Naukado jest utrzymywana w regionie Frankfurt (AWS eu-central-1) w Neon. Prywatne pliki korzystają z Cloudflare R2 skonfigurowanego dla jurysdykcji UE. Te ustawienia nie oznaczają, że wszystkie czynności dostawców, obsługa techniczna, poczta, diagnostyka i funkcje AI odbywają się wyłącznie w EOG.
Korzystanie z międzynarodowych dostawców może wiązać się z przetwarzaniem poza EOG. Taki transfer wymaga właściwej podstawy według rozdziału V RODO, np. mającej zastosowanie decyzji o odpowiednim stopniu ochrony albo właściwych zabezpieczeń. Sama akceptacja regulaminu lub tej polityki nie jest zgodą zastępującą taką podstawę. Informację o podstawie i zabezpieczeniach konkretnego transferu oraz dostępną kopię tych zabezpieczeń możesz uzyskać na info@x1technologies.pl. Nie deklarujemy, że każdy wymieniony dostawca ma tę samą lokalizację, certyfikację lub warunki retencji.
Standardowe warunki API OpenAI włączają DPA; dla klienta z EOG wskazuje ono OpenAI Ireland Ltd., a dla dalszego przekazania poza EOG — standardowe klauzule umowne (SCC) lub właściwą decyzję o adekwatności. Standardowe warunki Cloudflare, Neon/Databricks, RevenueCat i Hostinger włączają odpowiednie dodatki o przetwarzaniu i SCC dla objętych nimi transferów. Warunki Titan włączają DPA odwołujące się do klauzul ochrony danych z art. 46 ust. 2 lit. c RODO. To opis standardowych warunków odpowiednich usług, nie oświadczenie o podpisaniu dodatkowej indywidualnej umowy lub o wyłącznie europejskim przetwarzaniu. Diagnostyka Sentry jest objęta zaakceptowanym dodatkiem o przetwarzaniu danych (DPA), który przewiduje mechanizmy ochrony transferów w swoim zakresie.
7. Przechowywanie konta i treści
Dane konta, preferencje, materiały, zapisane lekcje, notatki, rozmowy, odpowiedzi i postęp przechowujemy dla korzystania z konta i powrotu do nauki, do usunięcia danych lub konta, z uwzględnieniem szczególnych celów wymienionych dalej. Sam brak aktywności nie jest obietnicą automatycznego usunięcia konta po określonej liczbie dni.
Niezatwierdzony etap importu ma ważność 24 godziny; wygasłe zasoby podlegają sprzątaniu. Surowe pliki w etapie importu są przechowywane w bazie tymczasowo; przy zatwierdzeniu ich bajty są usuwane z tego etapu. Zatwierdzony tekst i informacje o pochodzeniu pozostają z materiałem do jego usunięcia. Termin 24 godzin nie jest regułą automatycznego usuwania wszystkich obiektów Cloudflare R2. Usunięcie materiału NEXT obejmuje powiązane lekcje, grafiki, źródła, notatki i powtórki. Minimalne zapisy zużycia limitów oraz obsługi usunięcia mogą pozostać bez usuniętej treści, aby nie przywracać wykorzystanego limitu i nie odtworzyć usuniętego materiału. Odzyskiwanie po awarii musi uwzględniać zlecone usunięcia.
8. Przechowywanie zapisów obsługi
Logowanie: kod e-mail jest ważny 10 minut. Wygasłe dane dowodu i zabezpieczone dane ponowienia są kwalifikowane do sprzątania po upływie jednej doby od wygaśnięcia lub 2 minut od wykorzystania. Nie oznacza to usuwania wszystkich zapisów bezpieczeństwa w takim terminie.
Zakupy: minimalne informacje potrzebne do określenia Premium i kolejności zdarzeń pozostają związane z kontem do jego usunięcia. Zdarzenia zakupowe bez wpływu na dostęp są kwalifikowane do usunięcia po 168 godzinach od przyjęcia, wcześniej także przy usunięciu konta. Sklepy i dostawcy płatności prowadzą odrębne ewidencje.
Formularz pomocy: minimalne, zahaszowane metadane wysłania i stanu kwalifikują się do usunięcia po 30 dniach. Treść zgłoszenia i adres odpowiedzi nie są zapisywane w tej tabeli, lecz trafiają do poczty pomocy. Termin 30 dni nie jest obietnicą usunięcia e-maila z poczty.
Zgody i komunikacja: dowody rejestracji, ustawienia i stany komunikacji służą rozliczalności, realizacji wyboru i zapobieganiu ponownym lub niechcianym wysyłkom; dane tego konta są usuwane w związku z jego usunięciem. Sprzątanie jest procesem okresowym; podany czas kwalifikacji nie jest gwarancją usunięcia każdej kopii w tej samej sekundzie.
Logi serwera: dziennik systemowy jest skonfigurowany z limitem wieku 7 dni i wielkości; logi serwera WWW mają dzienną rotację z zachowaniem 14 rotacji. Logi procesu aplikacji zachowują 14 rotacji przy progu wielkości 20 MB, więc nie jest to gwarancja 14 dni. Przeniesione kopie lub dowody konkretnego incydentu mają odrębny cel. Dziennik audytu uwierzytelniania jest chroniony przed zwykłym kasowaniem; przy usunięciu konta powiązanie z kontem i sesją jest usuwane, lecz nie oznacza to usunięcia każdego pozostałego zdarzenia audytowego.
9. Pozostała retencja, kopie i usunięcie konta
Korespondencję dotyczącą pomocy i reklamacji przechowujemy przez obsługę sprawy, a następnie w zakresie niezbędnym do udokumentowania jej rozwiązania i roszczeń dotyczących tej sprawy, do upływu właściwego terminu ich przedawnienia lub zakończenia trwającego postępowania. Dane objęte obowiązkiem podatkowym lub rachunkowym są przechowywane przez właściwy okres ustawowy; nie dotyczy to automatycznie całej treści nauki. Dane diagnostyczne i bezpieczeństwa są potrzebne do analizy i rozwiązania błędu lub incydentu; dalsze zachowanie wymaga odrębnej potrzeby dotyczącej tego incydentu lub roszczenia.
Kopie zapasowe służą odtworzeniu systemów po awarii i są odrębne od bieżącej bazy. Usunięcie danych z systemów bieżących nie jest natychmiastowym wymazaniem istniejących kopii; dane w nich pozostają do zastąpienia lub usunięcia danej kopii w cyklu jej utrzymania. Nie są z tego powodu dostępne do dalszej zwykłej nauki. Nie podajemy niepotwierdzonego jednakowego terminu retencji wszystkich dostawców.
Usunięcie konta obejmuje wspólne konto OLD i NEXT oraz dane w bieżących systemach Naukado. Przyjęcie wniosku rozpoczyna proces; pliki i wymagane działania dostawców mogą wymagać dodatkowego czasu. Nie usuwa kont Apple lub Google, odrębnej ewidencji sklepu ani nie anuluje subskrypcji. Obowiązek zachowania konkretnego dowodu wynikający z prawa lub toczącego się sporu może ograniczać usunięcie tego dowodu; nie uzasadnia zachowania wszystkich materiałów. Bieżąca baza Neon ma ustawione okno historii odtwarzania 24 godziny. Istnieją też oddzielne kopie serwera oraz historyczne kopie bazy i plików, w tym odrębna baza źródłowa po migracji. Okno 24 godzin nie określa czasu przechowywania tych kopii. Po usunięciu konta nie służą one bieżącej obsłudze tego konta; przed odtworzeniem obsługi trzeba uwzględnić zlecenia usunięcia i zapisy zapobiegające przywróceniu usuniętej treści.
10. E-maile, push i dobrowolne zgody
Opcjonalne e-maile NEXT pomagające wracać do nauki mogą obejmować powitanie, wiadomości po ukończeniu lekcji i przypomnienia. Wymagają dobrowolnej zgody oraz aktywnych ustawień tej komunikacji. Zgoda zapisana przy rejestracji dokumentuje Twój wybór; sama nie jest obietnicą uruchomienia każdego rodzaju wysyłki. Możesz wycofać zgodę w ustawieniach aplikacji albo linkiem wypisu w wiadomości. Wycofanie nie wpływa na zgodność z prawem wcześniejszego przetwarzania ani nie blokuje nauki. Rezygnacja i informacje o niedoręczeniu lub skardze służą zatrzymaniu kolejnych niepożądanych wiadomości.
Kody logowania oraz wiadomości konieczne do bezpieczeństwa i obsługi umowy nie wymagają zgody marketingowej. Powiadomienia push używają tokenu urządzenia i wymagają właściwego ustawienia aplikacji oraz pozwolenia systemowego. Ustawienia push i e-mail są odrębne. Pozwolenie systemowe na mikrofon lub powiadomienia nie jest zgodą na wszystkie cele przetwarzania danych. Opcjonalne e-maile oferujemy tylko osobom deklarującym co najmniej 16 lat. Nie oznacza to zweryfikowania wieku. Obowiązuje najwyżej jedna wiadomość na 24 godziny i 3 w ruchomym okresie 7 dni.
11. Urządzenie i bezpieczeństwo
Aplikacja zapisuje na urządzeniu dane sesji oraz ograniczone dane i zapisy operacji potrzebne do kontynuowania pracy, synchronizacji i bezpiecznego odzyskania wyniku. Prywatny zapis jest rozdzielany według konta; wylogowanie i zmiana konta odcinają dostęp poprzedniej sesji. Nie wszystkie treści muszą znajdować się lokalnie. Odinstalowanie aplikacji nie usuwa danych konta z serwera ani subskrypcji.
Kamera, wybór zdjęcia lub pliku oraz mikrofon działają dla wybranej przez Ciebie funkcji. Nie opisujemy aplikacji jako stale nagrywającej w tle. Korzystamy z kontroli dostępu, ograniczeń użycia i zabezpieczeń sesji; łączność usług korzysta z zabezpieczeń transportowych. Żaden system nie daje gwarancji całkowitego braku ryzyka. Nie udostępniaj kodów i nie przesyłaj do pomocy haseł ani danych karty. Sentry otrzymuje diagnostykę błędów i informacje techniczne; ustawienie ograniczające domyślne dane identyfikujące nie jest gwarancją, że każdy komunikat błędu nie może zawierać danych osobowych.
12. Personalizacja i decyzje automatyczne
Wybrany język, preferencje, temat, materiał i postęp służą dostosowaniu nauki, ćwiczeń oraz propozycji kolejnych tematów. Sprawdzanie odpowiedzi i tworzenie treści jest częściowo automatyczne. Propozycję tematu możesz zmienić przed utworzeniem lekcji.
Te funkcje nie decydują o przyjęciu do szkoły, formalnej ocenie, zatrudnieniu lub innym podobnie istotnym prawie. Nie podejmujemy na ich podstawie decyzji o skutkach prawnych lub podobnie istotnych w rozumieniu art. 22 RODO. Ewentualne późniejsze wprowadzenie takiego zastosowania wymaga odrębnej informacji i właściwej podstawy; ta polityka go nie autoryzuje.
13. Twoje prawa
W granicach przewidzianych prawem możesz żądać dostępu i kopii danych, sprostowania, usunięcia lub ograniczenia przetwarzania. Dane przetwarzane automatycznie na podstawie umowy lub zgody mogą podlegać prawu przenoszenia. Możesz wnieść sprzeciw wobec przetwarzania na podstawie prawnie uzasadnionego interesu ze względu na swoją sytuację; wobec marketingu bezpośredniego sprzeciw przysługuje w każdym czasie. Zgodę możesz wycofać w każdym czasie, bez wpływu na wcześniejsze przetwarzanie.
Napisz na info@x1technologies.pl. Udzielimy odpowiedzi zasadniczo w ciągu miesiąca; jeżeli prawo pozwala na przedłużenie ze względu na złożoność lub liczbę wniosków, poinformujemy w tym miesiącu o przyczynie i terminie, maksymalnie o dalsze 2 miesiące. Gdy potrzebne jest potwierdzenie tożsamości, poprosimy tylko o proporcjonalne informacje. Prawa nie są bezwarunkowe — np. konkretny obowiązek prawny lub obrona roszczeń może ograniczać usunięcie określonego zapisu. Wyjaśnimy podstawę odmowy.
Możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl, lub właściwego organu w swoim kraju EOG, oraz skorzystać z ochrony sądowej.
14. Dobrowolność danych i osoby niepełnoletnie
Podanie danych potrzebnych do utworzenia i uwierzytelnienia konta jest warunkiem tej usługi. Bez materiału, pytania lub odpowiedzi nie wykonamy funkcji, która ich wymaga. Wybrane preferencje, dodatkowa treść, zgoda na e-maile i pozwolenie na push są dobrowolne; brak niepotrzebnej zgody nie może blokować podstawowej usługi. Nie podawaj zbędnych danych innych osób.
Osoby niepełnoletnie powinny korzystać z udziałem opiekuna w zakresie wymaganym dla umowy i zgód. W Polsce, gdy przetwarzanie przy bezpośrednio oferowanej dziecku usłudze internetowej opiera się na zgodzie, dziecko poniżej 16 lat potrzebuje zgody lub upoważnienia opiekuna; w innych państwach właściwy próg może być inny. Nie jest to twierdzenie, że wszystkie funkcje nauki opierają się na zgodzie lub że akceptacja regulaminu weryfikuje upoważnienie opiekuna. W razie wątpliwości dotyczącej danych dziecka skontaktuj się na info@x1technologies.pl.
15. Wersja i zmiany informacji
Ta wersja jest oznaczona datą 2026-10-02 i dotyczy NEXT. Wcześniejsze dowody akceptacji oraz dokumenty starszej aplikacji nie są przez nią nadpisywane. Jeżeli zmieni się istotny cel, odbiorca lub sposób przetwarzania, przekażemy właściwą informację przed rozpoczęciem nowego przetwarzania, a gdy potrzebna jest nowa zgoda, poprosimy o nią osobno. Nie uznajemy samego dalszego korzystania z aplikacji za zgodę na każdy nowy cel.
Dane administratora i kontakt
Administratorem danych przetwarzanych przez Naukado jest Łukasz Szczepocki (X1 Technologies), NIP 1251792192, REGON 542436628, ul. Tulipanowa 3, 05-091 Ząbki, Polska. W sprawach danych i swoich praw możesz pisać na info@x1technologies.pl. Pomoc aplikacji jest dostępna pod contact@naukado.com.