Polityka prywatności
Wersja 1.0 · Obowiązuje od: 1 września 2026
Wyjaśniamy tu, jakie dane o Tobie zbieramy, po co, jak długo je trzymamy i co możesz nam kazać z nimi zrobić. Piszemy prosto i wprost do Ciebie — bo REZUTO jest dla uczniów szkół średnich, a ten dokument ma być zrozumiały także dla Twojego rodzica lub opiekuna.
1. Kto odpowiada za Twoje dane#
Administratorem Twoich danych jest #onFiRE Rafał Gołubowicz, NIP 5423363362 („my”).
We wszystkich sprawach dotyczących danych — pytania, żądania, skargi, cofnięcie zgody — pisz na kontakt@rezuto.pl. To jedyny adres, którego potrzebujesz.
2. Wiek, zgoda opiekuna i małoletni użytkownicy#
Z REZUTO mogą korzystać osoby, które ukończyły 13 lat. Jeśli nie masz pełnej zdolności do czynności prawnych, na korzystanie z platformy potrzebujesz zgody rodzica lub opiekuna prawnego (szczegóły w Regulaminie, §3).
Osobna sprawa to zgody, o które prosimy w samej platformie: wystawienie certyfikatu i zapis na listę oczekujących. Zgodnie z art. 8 ust. 1 RODO takiej zgody może samodzielnie udzielić dopiero osoba, która ukończyła 16 lat — Polska nie skorzystała z możliwości obniżenia tego progu. Jeśli masz mniej niż 16 lat, zgodę musi wyrazić albo zaakceptować Twój rodzic lub opiekun prawny.
Nie mamy technicznej możliwości sprawdzenia Twojej metryki ani automatycznego potwierdzenia, że opiekun rzeczywiście taką zgodę wyraził. Za prawdziwość danych podanych przy rejestracji, w tym wieku, odpowiada osoba zakładająca konto, a u osób niepełnoletnich — również jej opiekun.
Rodzic lub opiekun może w każdej chwili napisać na kontakt@rezuto.pl, żeby dowiedzieć się, jakie dane dziecka przetwarzamy, sprzeciwić się temu, cofnąć wcześniejszą zgodę albo zażądać usunięcia konta.
3. Jakie dane zbieramy i po co#
Zbieramy tylko to, czego potrzebujemy, żeby prowadzić Twoje konto, pokazywać Ci symulacje i wyniki oraz żeby działała Iskra. Każda kategoria ma swój cel i podstawę prawną z RODO — a tam, gdzie powołujemy nasz prawnie uzasadniony interes, piszemy wprost, na czym on polega.
| Dane | Po co | Podstawa prawna (RODO) |
|---|---|---|
| e-mail i imię podane przy rejestracji | założenie konta i logowanie | art. 6 ust. 1 lit. b — wykonanie umowy |
| dane profilowe, które podajesz dobrowolnie | dopasowanie treści i rekomendacji | art. 6 ust. 1 lit. b |
| postępy, wyniki i oceny w symulacjach (w tym oceny generowane przez model językowy) oraz profil kompetencji — wyniki testów i zapisywane w czasie migawki profilu | prowadzenie symulacji, śledzenie postępów, pokazywanie wyników w panelu, wysyłka podsumowania e-mailem | art. 6 ust. 1 lit. b |
| rozmowy z Iskrą, wyodrębniony z nich profil preferencji zawodowych i wiadomości, które Iskra wysyła z własnej inicjatywy | prowadzenie rozmowy z doradcą AI i dopasowanie podpowiedzi (sekcja 4) | art. 6 ust. 1 lit. b |
| przynależność do klasy szkolnej, jeśli dołączył Cię do niej nauczyciel | umożliwienie nauczycielowi pracy z klasą (sekcja 5) | art. 6 ust. 1 lit. b (prowadzenie klasy) oraz lit. f — nasz prawnie uzasadniony interes: utrzymanie spójnego składu grupy i możliwość pracy nauczyciela z całą klasą |
| e-mail osoby zaproszonej do klasy, która nie ma jeszcze konta | wysłanie i obsługa zaproszenia (sekcja 5) | art. 6 ust. 1 lit. f — nasz prawnie uzasadniony interes: doręczenie i obsługa zaproszenia wysłanego przez nauczyciela |
| certyfikaty oraz zgody na ich wystawienie i udostępnienie | wystawienie certyfikatu i — w zakresie zgody — jego weryfikacja (sekcja 6) | art. 6 ust. 1 lit. a — zgoda (a poniżej 16 lat: zgoda opiekuna, sekcja 2) |
| dane o subskrypcji i rozliczeniach (bez danych karty — te trafiają wyłącznie do operatora płatności) | obsługa płatności i dokumentacja rozliczeniowa | art. 6 ust. 1 lit. b oraz lit. c — obowiązek podatkowy |
| e-maile transakcyjne (powitalny, przypomnienia, wyniki, potwierdzenia) i zgłoszenia z formularza kontaktowego | obsługa konta, subskrypcji i Twoich zgłoszeń | art. 6 ust. 1 lit. b (e-maile wynikające z umowy) oraz lit. f — nasz prawnie uzasadniony interes: udzielenie odpowiedzi na zgłoszenie i udokumentowanie jego obsługi |
| e-mail zapisany na liście oczekujących, jeszcze przed założeniem konta | jednorazowe powiadomienie o starcie lub otwarciu pełnego dostępu | art. 6 ust. 1 lit. a — zgoda (a poniżej 16 lat: zgoda opiekuna, sekcja 2) |
| dwa pliki cookie: zgody i sesji logowania (sekcja 10) | zapamiętanie Twojego wyboru w banerze i utrzymanie Cię w zalogowanej sesji | art. 6 ust. 1 lit. b (sesja logowania) oraz lit. c w zw. z art. 173 Prawa telekomunikacyjnego (cookie zgody) |
| dane techniczne: logi serwera, adres IP, informacje o urządzeniu i przeglądarce | bezpieczeństwo i utrzymanie platformy | art. 6 ust. 1 lit. f — nasz prawnie uzasadniony interes: bezpieczeństwo platformy, wykrywanie nadużyć i utrzymanie jej sprawności |
- Nie wysyłamy marketingu i nie prowadzimy newslettera. Jedyny wyjątek to ta jedna wiadomość do osób z listy oczekujących — wymaga osobnej zgody przy zapisie. Gdyby to się kiedyś zmieniło, poprosimy o zgodę osobno i zaktualizujemy tę politykę.
4. Iskra i automatyczne oceny#
Iskra to asystent AI, który rozmawia z Tobą o wyborze ścieżki kariery. Rozmowa zapisuje się na Twoim koncie, żeby Iskra pamiętała kontekst następnym razem. Czasem napisze do Ciebie pierwsza — takie wiadomości przechodzą przez tę samą moderację co reszta.
Z rozmowy Iskra buduje profil preferencji zawodowych: zainteresowania, mocne strony, preferowany styl pracy, kierunki, które odrzucasz, i orientacyjne dopasowanie do branż dostępnych w REZUTO. To jest profilowanie w rozumieniu RODO i mówimy o tym wprost. Profil służy wyłącznie lepszym podpowiedziom wewnątrz platformy.
Ani profilowanie przez Iskrę, ani automatyczne oceny wykonania symulacji nie są decyzją opartą wyłącznie na zautomatyzowanym przetwarzaniu w rozumieniu art. 22 RODO: nie wywołują wobec Ciebie skutków prawnych ani nie wpływają na Ciebie w podobnie istotny sposób. To podpowiedź edukacyjna — decyzja zawsze należy do Ciebie. Zanim rozmowa zostanie przetworzona, sprawdza ją automatyczna moderacja treści.
W panelu Iskry widzisz, co zostało o Tobie zapisane, i jednym kliknięciem kasujesz zarówno historię rozmowy, jak i cały profil („Wyczyść historię rozmowy i pamięć Iskry”). Moderacja zapisuje osobno techniczne statystyki (np. typ zdarzenia) — bez treści rozmowy i bez Twojego identyfikatora, więc nie da się ich powiązać z żadnym kontem ani usunąć razem z historią.
Mamy ograniczony dostęp techniczny do transkryptów rozmów z Iskrą — wyłącznie po to, żeby moderować treści i utrzymać jakość usługi. Dane takie jak imię i nazwisko są w tym widoku maskowane automatycznie, zanim transkrypt się wyświetli.
Odpowiedzi Iskry, moderację i automatyczne oceny generuje zewnętrzny dostawca modeli językowych, któremu przekazujemy treść rozmowy w zakresie niezbędnym do udzielenia odpowiedzi (sekcja 7).
5. Klasy i dostęp szkół do danych uczniów#
Jeśli nauczyciel dołączył Twoje konto do klasy, widzi imienny skład tej klasy: imię, nazwisko i status przynależności każdego ucznia.
Nauczyciel nie widzi Twoich rozmów z Iskrą, Twojego profilu preferencji ani indywidualnych wyników symulacji. Zbiorcze statystyki klasy (np. rozkład wybranych ścieżek) pokazujemy mu tylko wtedy, gdy grupa jest na tyle liczna, że nie da się z nich rozpoznać pojedynczej osoby — mniejsze grupy i całe zbyt małe klasy ukrywamy.
Jeśli nauczyciel zaprosi do klasy kogoś, kto nie ma jeszcze konta, jego adres e-mail przechowujemy wyłącznie na potrzeby zaproszenia. Zaproszenie jest ważne 14 dni, a nieprzyjęte kasujemy w ciągu kolejnych 7 — łącznie nie dłużej niż 21 dni od wysłania. Po przyjęciu zaproszenia ten adres staje się zwykłą daną Twojego konta, opisaną w sekcji 3.
Jeśli to Ty dostajesz takie zaproszenie, a nie masz u nas konta: Twój adres e-mail przekazał nam nauczyciel prowadzący klasę — nie pobraliśmy go od Ciebie. Przysługują Ci wszystkie prawa z sekcji 9, w tym sprzeciw wobec tego przetwarzania. Napisz na kontakt@rezuto.pl, a usuniemy adres od razu, nie czekając na upływ 21 dni.
Odłączenie Cię od klasy nie usuwa konta, historii symulacji, ocen ani certyfikatów — kończy tylko powiązanie z tą klasą. Samą operację odnotowujemy wewnętrznie.
W zakresie danych klasowych działamy jako administrator — to my decydujemy o celach i sposobach ich przetwarzania, a nauczyciel korzysta z panelu w ramach dostępu opisanego wyżej. Jeśli zaczniemy przetwarzać dane na zlecenie konkretnej szkoły, zawrzemy z nią umowę powierzenia i zaktualizujemy tę politykę, zanim to nastąpi.
6. Certyfikaty#
Po spełnieniu warunków wybranej ścieżki nauki możesz dostać certyfikat ukończenia. Wystawiamy go tylko wtedy, gdy wyrazisz na to osobną, dobrowolną zgodę — razem z zakresem jego udostępnienia. Zapisujemy ją wraz z wersją tekstu, na jaki została udzielona. Jeśli masz mniej niż 16 lat, tę zgodę musi wyrazić albo zaakceptować Twój opiekun (sekcja 2).
Każdy certyfikat ma unikalny kod weryfikacyjny. Publiczna strona pozwalająca sprawdzić certyfikat po tym kodzie jest obecnie wyłączona; gdybyśmy ją włączyli, napiszemy o tym w tej polityce.
Wystawiony certyfikat możesz unieważnić samodzielnie w panelu „Moja ścieżka” — bez kontaktu z nami.
7. Komu przekazujemy dane i transfer poza EOG#
Nie sprzedajemy Twoich danych i nie udostępniamy ich nikomu w celach marketingowych. Korzystamy natomiast z zewnętrznych dostawców, którzy przetwarzają dane w naszym imieniu — na podstawie umów powierzenia i wyłącznie zgodnie z naszymi instrukcjami.
| Kategoria odbiorcy | Zakres | Transfer poza EOG |
|---|---|---|
| dostawcy hostingu aplikacji i bazy danych oraz usługi uwierzytelniania | przechowywanie danych konta, logi żądań i adresy IP | nie — aplikacja i baza danych działają w regionach w Irlandii, czyli wewnątrz EOG; gdyby to się zmieniło, zabezpieczymy transfer standardowymi klauzulami umownymi i zaktualizujemy tę politykę, zanim to nastąpi |
| dostawca modeli językowych (AI) | generowanie odpowiedzi Iskry, moderacja treści i automatyczne oceny symulacji | tak, do USA — dostawca jest certyfikowany w programie EU-U.S. Data Privacy Framework objętym decyzją o adekwatności Komisji Europejskiej; dodatkowo obowiązują standardowe klauzule umowne |
| dostawca wysyłki wiadomości e-mail | e-maile powitalne, transakcyjne, przypomnienia i zaproszenia do klas | tak, do USA — dostawca jest certyfikowany w programie EU-U.S. Data Privacy Framework objętym decyzją o adekwatności Komisji Europejskiej; dodatkowo obowiązują standardowe klauzule umowne |
| operator płatności | realizacja płatności za subskrypcję | nie — dane pozostają w Polsce; w tym zakresie operator płatności jest odrębnym administratorem, a nie podmiotem przetwarzającym w naszym imieniu |
- Aktualną, imienną listę podmiotów przetwarzających, a także kopię standardowych klauzul umownych zawartych z danym dostawcą — w zakresie, w jakim nie stanowią one tajemnicy przedsiębiorstwa — udostępniamy na żądanie pod adresem kontakt@rezuto.pl.
- Dane możemy też przekazać organom publicznym, jeśli wymagają tego przepisy prawa.
8. Jak długo przechowujemy dane#
Co do zasady tak długo, jak masz u nas konto. Wyjątki to miejsca, w których krótszy termin narzuca prawo albo sposób, w jaki dana funkcja działa.
| Dane | Okres przechowywania |
|---|---|
| konto i dane profilowe | do usunięcia konta na Twoje żądanie |
| rozmowy z Iskrą i profil preferencji | do skasowania ich w panelu Iskry albo do usunięcia konta — co nastąpi wcześniej |
| e-mail osoby zaproszonej do klasy, która nie ma konta | maksymalnie 21 dni od wysłania zaproszenia, jeśli nie zostanie przyjęte |
| wyniki symulacji, profil kompetencji i certyfikaty | do usunięcia konta (certyfikat możesz unieważnić wcześniej samodzielnie) |
| dane rozliczeniowe i o subskrypcji | przez okres wymagany przepisami podatkowymi — co do zasady 5 lat od końca roku, w którym powstał obowiązek podatkowy |
| zgłoszenia z formularza kontaktowego | do zamknięcia sprawy, nie dłużej niż do usunięcia konta |
| e-mail z listy oczekujących | maksymalnie 12 miesięcy od zapisu, kasowany automatycznie |
| logi i adres IP | zgodnie z okresem retencji logów u dostawcy hostingu — aktualną wartość podamy na żądanie pod kontakt@rezuto.pl |
- Techniczne statystyki moderacji Iskry nie trafiły do tej tabeli, bo nie są danymi osobowymi: zapisujemy je bez treści rozmowy i bez Twojego identyfikatora, więc nie da się ich powiązać z żadnym kontem. Piszemy o nich tylko po to, żebyś wiedział, że w ogóle powstają.
- Konto usuwamy na żądanie wysłane na kontakt@rezuto.pl — dziś robimy to ręcznie, bo platforma nie ma jeszcze przycisku „usuń konto”.
9. Twoje prawa#
Wobec swoich danych masz następujące prawa:
- dostępu do danych i uzyskania ich kopii,
- sprostowania danych, które są błędne lub niekompletne,
- usunięcia danych („prawo do bycia zapomnianym”),
- ograniczenia przetwarzania,
- przenoszenia danych, które przetwarzamy na podstawie Twojej zgody albo umowy,
- sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie — w sekcji 3 widzisz, których danych to dotyczy,
- cofnięcia zgody w dowolnym momencie; cofnięcie nie podważa legalności tego, co zrobiliśmy wcześniej,
- wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa), jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem.
10. Jak zgłosić żądanie i czy podanie danych jest obowiązkowe#
Żądanie zgłoś na kontakt@rezuto.pl. Odpowiadamy najpóźniej w ciągu miesiąca (art. 12 ust. 3 RODO); przy skomplikowanych sprawach możemy przedłużyć ten termin o dwa miesiące, ale wtedy Cię o tym uprzedzimy.
Podanie e-maila i imienia jest dobrowolne, ale bez nich nie założysz konta i nie skorzystasz z platformy. Pozostałe dane profilowe oraz zgody na certyfikat i listę oczekujących podajesz w pełni dobrowolnie — odmowa nie odbiera Ci dostępu do niczego innego.
11. Pliki cookies#
Używamy dwóch plików cookie: cookie zgody, które zapamiętuje Twój wybór z banera (ważne rok), i cookie sesyjnego, które utrzymuje Twoją sesję do czasu wylogowania lub jej wygaśnięcia. Oba są niezbędne do działania serwisu.
Nie stosujemy żadnych narzędzi analitycznych ani marketingowych, więc wybór „Tylko niezbędne” w banerze nie wyłącza dziś niczego — po prostu nie ma czego wyłączać. Mechanizm zgody jest gotowy na przyszłość: jeśli takie narzędzia wprowadzimy, zapytamy o zgodę ponownie i zaktualizujemy tę politykę.
Cookies możesz usuwać i blokować w ustawieniach przeglądarki — może to jednak popsuć logowanie.
12. Zmiany tej polityki#
Możemy zmienić tę politykę, gdy zmieni się platforma albo przepisy. O istotnych zmianach poinformujemy komunikatem w serwisie lub e-mailem, a datę ostatniej aktualizacji zawsze znajdziesz na górze dokumentu.