Prywatność i technologie przeglądarki

1. Administrator i kontakt

Bigawerk sp. z o.o., ul. Świeradowska 47, 02-662 Warszawa, KRS 0001218771, NIP 5214149417, jest administratorem danych do własnych celów opisanych poniżej. Kontakt: kontakt@chimetable.com.

Danymi kursantów, opiekunów i zespołu zarządza Szkoła; my obsługujemy je na jej polecenie według DPA. Żądania dotyczące tych danych przekazujemy Szkole.

2. Po co i jak długo przetwarzamy dane

Dane i cel	Podstawa RODO i okres
Imię, kontakt, Szkoła i korespondencja — odpowiedź na zapytanie i oferta	Art. 6 ust. 1 lit. f RODO — uzasadniony interes obsługi zapytań; lit. b — działania przed zawarciem umowy, gdy jesteś jej stroną. 12 miesięcy od wysłania zapytania. Jeżeli zawrzemy umowę, dalej według zasad dla konta i umowy. Dowody potrzebne do dochodzenia lub obrony konkretnego roszczenia zachowujemy do jego przedawnienia.
Konto, rola, kontakt i akceptacje — dostęp i obsługa umowy	Art. 6 ust. 1 lit. b RODO — wykonanie umowy z Tobą; lit. f — uzasadniony interes obsługi przedstawicieli i użytkowników Szkoły. Przez niezbędny okres dostępu i obsługi; potem tylko potrzebne dowody do przedawnienia roszczeń.
NIP i nazwa firmy prowadzącej Szkołę, oświadczenie złożone przy ich przesłaniu, imię, nazwisko i e-mail osoby, która zaakceptowała umowę, oraz e-mail osoby, która przesłała dane — weryfikacja przed udostępnieniem wysyłki SMS lub płatnego pakietu i zapobieganie nadużyciom	Art. 6 ust. 1 lit. b RODO — wykonanie umowy, gdy jesteś jej stroną; lit. f — uzasadniony interes wykonania umowy ze Szkołą i zapobiegania nadużyciom wysyłki SMS. Do końca roku kalendarzowego, w którym upływają 3 lata od zakończenia umowy.
Dane nabywcy, faktury i płatności — rozliczenia	Art. 6 ust. 1 lit. c RODO — obowiązki rachunkowe i podatkowe, przez okresy wymagane właściwymi przepisami.
IP, urządzenie, czas, błędy i zgłoszenia — bezpieczeństwo, pomoc i roszczenia	Art. 6 ust. 1 lit. f RODO — uzasadniony interes ochrony usługi i praw. Okres przechowywania logów: Niezbędną korespondencję pomocy przechowujemy do zakończenia zgłoszenia; dowody konkretnego incydentu lub roszczenia wydzielamy na czas jego obsługi i do upływu terminu przedawnienia właściwego roszczenia.
Opcjonalny marketing — dane kontaktowe	Art. 6 ust. 1 lit. a RODO — zgoda oraz wymagane zezwolenie na wybrany kanał komunikacji. Do wycofania lub końca celu; minimalny dowód zachowujemy dla wykazania zgodności i respektowania sprzeciwu.
Opcjonalne statystyki odwiedzin stron publicznych — adres strony, źródło wejścia, przybliżona lokalizacja, urządzenie i przeglądarka	Art. 6 ust. 1 lit. a RODO — zgoda, wymagana także przez art. 399 Prawa komunikacji elektronicznej. Google Analytics przechowuje dane zdarzeń 2 miesiące. Okres przechowywania statystyk Vercel Web Analytics: Wycofanie zatrzymuje zbieranie i usuwa cookies Google Analytics z przeglądarki.
Opcjonalna diagnostyka w ChimeTable — odtworzenie przebiegu sesji (Replay) i pomiary wydajności; pracownicy Szkoły, bez uczniów i opiekunów	Art. 6 ust. 1 lit. a RODO — zgoda, wymagana także przez art. 399 Prawa komunikacji elektronicznej. Nagrania przechowujemy najwyżej 90 dni. Wycofanie zatrzymuje nagrywanie; nagrania wysłane wcześniej usuwamy automatycznie bez zbędnej zwłoki. Zapis decyzji o zgodzie (kto, kiedy, jaka wersja informacji) przechowujemy jako dowód do końca roku kalendarzowego, w którym upływają 3 lata od usunięcia konta. Dane Szkoły podlegają także DPA.

Dane otrzymujemy od Ciebie, z używania usługi lub od Szkoły, która przekazuje imię, e-mail, rolę i powiązanie organizacyjne przy zaproszeniu. Dane Szkoły podane przed udostępnieniem SMS możemy porównać z publicznymi rejestrami, takimi jak REGON, CEIDG i KRS. Informacje o przetwarzaniu udostępniamy najpóźniej w terminach określonych w art. 14 RODO, w szczególności przy pierwszym kontakcie.

Podanie danych jest dobrowolne, ale niezbędne dane kontaktowe i konta warunkują odpowiedź i dostęp, wymagane dane rozliczeniowe — rozliczenie, a dane Szkoły i oświadczenia — udostępnienie wysyłki SMS. Telefon, dodatkowe informacje i marketing są opcjonalne. Nie podawaj w formularzu danych kursantów ani zdrowotnych.

3. Odbiorcy i lokalizacje

Dane otrzymują upoważnione osoby, dostawcy infrastruktury, poczty, komunikacji, diagnostyki i statystyk, a w niezbędnym zakresie księgowość, doradcy i właściwe organy. Rejestr opisuje dostawców. Nie sprzedajemy danych ani nie przekazujemy ich do cudzego marketingu.

Baza Supabase znajduje się w Zurychu, funkcje Vercel we Frankfurcie, VPS OVH w Polsce, a Sentry w regionie UE. Statystyki odwiedzin obsługują Google Ireland Limited i Vercel Inc.; dane mogą trafiać do USA na podstawie EU-US Data Privacy Framework. Szwajcaria korzysta z decyzji o adekwatności. Dostęp wsparcia i dalszych dostawców może obejmować inne państwa; transfer wymaga właściwej decyzji o adekwatności albo klauzul umownych i niezbędnych dodatkowych zabezpieczeń. Informacje i kopie dokumentów określających zabezpieczenia transferu uzyskasz pod naszym adresem e-mail, z zachowaniem ochrony poufnych informacji innych podmiotów.

Szkoła wskazuje odbiorców wiadomości i kalendarzy. Link kalendarza daje dostęp posiadaczowi, a grupa komunikacyjna może ujawniać dane uczestnikom. Wysłane treści są zapisywane w bazie. Dane powierzone usuwamy według regulaminu i DPA, po umożliwieniu odbioru.

4. Cookies i diagnostyka

Niezbędne cookies i pamięć przeglądarki obsługują logowanie, wybór języka, motywu i szkoły oraz zapamiętują Twoją decyzję o cookies. Nie wymagają zgody. Turnstile przetwarza sygnały urządzenia i przeglądarki, aby chronić formularz kontaktowy. Sentry zbiera raporty błędów potrzebne do bezpieczeństwa i działania usługi.

Na stronach publicznych, tylko za Twoją zgodą, liczymy odwiedziny w Google Analytics 4 i Vercel Web Analytics. Bez zgody te skrypty się nie ładują. Google Analytics działa bez Google Signals i bez sygnałów reklamowych. Vercel Web Analytics nie zapisuje cookies. Decyzję pamiętamy 12 miesięcy, a po zmianie listy narzędzi pytamy ponownie. Zmienisz ją przez link „Ustawienia cookies” w stopce strony.

W ChimeTable, tylko za zgodą pracownika Szkoły, Sentry nagrywa przebieg korzystania z aplikacji (Replay) i mierzy wydajność, aby diagnozować błędy. Replay odtwarza kliknięcia, przewijanie i zmiany widoku. Nie nagrywa kamery ani ekranu urządzenia. Maskujemy teksty i pola formularzy oraz blokujemy media; nie oznacza to pełnej anonimizacji. Nagranie oznaczamy losowym identyfikatorem, bez imienia i adresu e-mail. Nie używamy Replay do oceny pracy lektorów ani kursantów. Uczniów i opiekunów nie pytamy o tę zgodę i ich nie nagrywamy.

Przed zgodą nie nagrywamy ani nie buforujemy sesji. Zgoda dotyczy Ciebie, a nie przeglądarki, więc wspólny komputer nie przenosi jej na inną osobę. Decyzję zmienisz w każdej chwili w menu „Prywatność” w aplikacji, równie łatwo jak przy jej udzieleniu. Po wycofaniu przestajemy nagrywać i usuwamy nagrania wysłane wcześniej. Akceptacja regulaminu lub zamówienia przez Szkołę nie zastępuje tej decyzji. Odmowa nie ogranicza dostępu do strony ani do ChimeTable.

Nazwa	Dostawca i cel	Czas przechowywania
sb-…-auth-token	ChimeTable (Supabase) — sesja logowania. Niezbędne.	Do wylogowania, najwyżej 400 dni
sb-…-auth-token-code-verifier	ChimeTable (Supabase) — zabezpieczenie logowania przez Google i rejestracji e-mailem. Niezbędne.	Usuwane po zalogowaniu przez Google; po rejestracji e-mailem lub przerwanym logowaniu najwyżej 400 dni
Turnstile (ramka challenges.cloudflare.com)	Cloudflare — ochrona formularza kontaktowego przed botami. Niezbędne.	Brak cookies w naszej domenie; jednorazowy token ważny 5 minut
locale	ChimeTable — wybrany język. Niezbędne.	1 rok
location	ChimeTable — wybrana szkoła w aplikacji. Niezbędne.	1 rok
theme (pamięć przeglądarki)	ChimeTable — jasny lub ciemny motyw. Niezbędne.	Do usunięcia w przeglądarce
ct_consent	ChimeTable — Twoja decyzja o cookies. Niezbędne.	12 miesięcy
_ga, _ga_<ID>	Google Analytics — rozróżnianie odwiedzin. Tylko za zgodą.	13 miesięcy

Możesz usuwać zapisane informacje i zmieniać ustawienia przeglądarki. Blokada mechanizmów logowania może uniemożliwić dostęp do konta.

5. Twoje prawa

Na zasadach RODO masz prawo dostępu i kopii, sprostowania, usunięcia, ograniczenia i przeniesienia danych. Możesz wnieść sprzeciw wobec uzasadnionego interesu z przyczyn swojej sytuacji; wobec marketingu bezpośredniego — bezwarunkowo. Zgodę wycofasz w każdej chwili, równie łatwo jak jej udzielono, bez wpływu na wcześniejsze zgodne z prawem przetwarzanie.

Napisz na kontakt@chimetable.com. Weryfikujemy tożsamość proporcjonalnie i odpowiadamy zasadniczo w miesiąc; w tym terminie wyjaśniamy dopuszczalne przedłużenie. Możesz złożyć skargę do Prezesa UODO.

We własnych opisanych celach nie podejmujemy wyłącznie automatycznych decyzji o skutkach prawnych lub podobnie istotnych. Aktualną informację udostępniamy w sekcji dokumentów ChimeTable, a istotne zmiany komunikujemy odpowiednim kanałem.

Dostawcy i lokalizacje danych

Usługa	Zakres danych i rola	Główna lokalizacja
Supabase	Baza i uwierzytelnianie; dane organizacji, kont i zajęć, w tym zapisane wysyłki. Bez Storage.	Zurych, Szwajcaria
Vercel	Hosting aplikacji; dane przetwarzane w żądaniach i logi. Web Analytics: statystyki odwiedzin stron publicznych, wyłącznie po zgodzie.	Funkcje: Frankfurt, Niemcy; Web Analytics: USA (DPF)
OVHcloud	VPS bramki WhatsApp; transmisja, sesje i dane techniczne. Bramka nie przekazuje ani nie przechowuje wiadomości z grup.	Polska
Webshare	Transmisja zaszyfrowanego ruchu bramki WhatsApp; bez dostępu do treści i danych osób.	USA; adresy wyjściowe: Polska
Postmark	Poczta transakcyjna i kontaktowa; odbiorcy, treści i statusy.
SMSAPI	SMS; numery, treści i statusy.
Sentry	Diagnostyka błędów; Replay i pomiary wydajności wyłącznie po zgodzie pracownika Szkoły.	UE
Google Analytics	Statystyki odwiedzin stron publicznych, wyłącznie po zgodzie; bez sygnałów reklamowych. Google Ireland Limited.	UE i USA (DPF)

Dokumenty dostawców: DPA Supabase, DPA Vercel oraz DPA OVHcloud. Linki służą informacji; nie włączają tych dokumentów do umowy ze Szkołą ani nie zmieniają naszych zobowiązań.

Wersja rejestru:
Obowiązuje od:

Szwajcaria korzysta z decyzji o adekwatności. Region serwera nie wyklucza dostępu wsparcia i podwykonawców z innych państw; przed takim transferem wymagane jest potwierdzenie podstawy i zabezpieczeń zgodnych z RODO. Informacje o nich i kopie zabezpieczeń udostępniamy przez kontakt@chimetable.com.

Cloudflare obsługuje DNS i ochronę formularza Turnstile, a nie proxy całej aplikacji. Poczta firmowa służy obsłudze korespondencji. Role tych usług zależą od przepływu danych. WhatsApp i kalendarze wybrane przez Szkołę nie stają się automatycznie naszymi podwykonawcami. Treści wysłane przez ChimeTable pozostają w jego bazie.

Rejestr udostępniamy przed powierzeniem w wersji do zachowania. Zmiany podwykonawców zgłaszamy e-mailem zgodnie z DPA; sama edycja strony nie zastępuje powiadomienia.