Polityka prywatności

Ostatnia aktualizacja: 2 kwietnia 2026

1. Administrator danych

  1. Administratorem danych osobowych jest OUTOFPLACE POLAND sp. z o.o. z siedzibą w Łomży (adres: Żabia 4, 18-400 Łomża), wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0001163427, NIP 7182173789, REGON 541259259 (dalej: "Administrator").
  2. Administrator jest operatorem serwisu internetowego dostępnego pod adresem sprawnamatura.pl(dalej: "Serwis") oraz aplikacji mobilnej Sprawna Matura dostępnej w Apple App Store i Google Play (dalej: "Aplikacja"). Serwis i Aplikacja łącznie zwane są dalej "Usługą".
  3. Kontakt z Administratorem: contact@sprawnamatura.pl.

2. Zakres zbieranych danych

W ramach korzystania z Usługi zbieramy dane w zależności od platformy (serwis internetowy lub aplikacja mobilna) oraz zakresu korzystania:

2.1. Dane wspólne (Serwis i Aplikacja)

  • Dane konta - adres e-mail, imię (przy logowaniu przez Google OAuth). Rejestracja jest dobrowolna.
  • Dane o postępach w nauce - informacje o rozwiązanych zadaniach, udzielonych odpowiedziach, wynikach, passach (streak) i aktywności w Usłudze.
  • Dane płatności - obsługiwane przez operatorów płatności (Stripe, Apple, Google). Nie przechowujemy numerów kart płatniczych, danych rachunków bankowych ani innych wrażliwych danych płatniczych. Przechowujemy jedynie identyfikator transakcji, datę, kwotę i status płatności.
  • Dane diagnostyczne - automatyczne raporty o błędach i wydajności aplikacji zbierane przez Sentry (bez powiązania z tożsamością użytkownika). Obejmują: stos wywołań (stack trace), wersję aplikacji, system operacyjny i model urządzenia.
  • Dane analityczne - anonimowe informacje o korzystaniu z funkcji zbierane przez PostHog (serwer w EU). Obejmują: wyświetlenia ekranów, rozwiązanie zadania, obejrzenie rozwiązania, ukończenie egzaminu. Dane nie są powiązane z tożsamością użytkownika.

2.2. Dane zbierane wyłącznie w Serwisie (strona www)

  • Dane techniczne - adres IP, typ i wersja przeglądarki, system operacyjny, rozdzielczość ekranu (zbierane automatycznie w logach serwera).
  • Pliki cookies - niezbędne pliki cookie sesji (uwierzytelnianie, preferencje motywu). Serwis nie wykorzystuje reklamowych plików cookie.

2.3. Dane zbierane wyłącznie w Aplikacji mobilnej

  • Identyfikator urządzenia - anonimowy identyfikator instalacji (Identifier for Vendors na iOS, Android ID). Wykorzystywany do synchronizacji postępów i diagnostyki. Nie jest powiązany z tożsamością użytkownika.
  • Identyfikator reklamowy (IDFA/GAID) - zbierany wyłącznie po udzieleniu zgody przez użytkownika (App Tracking Transparency na iOS, zgoda w ustawieniach na Android). Służy do pomiaru skuteczności kampanii reklamowych w Meta (Facebook). Bez zgody identyfikator nie jest odczytywany.
  • Dane o interakcji z produktem - zdarzenia przekazywane do Meta (Facebook) SDK po udzieleniu zgody na śledzenie: wyświetlenie zadania, rozpoczęcie płatności, zakup, rejestracja, odblokowanie osiągnięcia, awans na nowy poziom. Bez zgody na śledzenie Meta otrzymuje zdarzenia w formie zagregowanej, bez identyfikatora reklamowego.
  • Historia zakupów - informacja o dokonaniu zakupu In-App Purchase przekazywana do Meta SDK (po zgodzie na śledzenie) w celu optymalizacji kampanii reklamowych.
  • Dane o urządzeniu - model urządzenia, wersja systemu operacyjnego, wersja Aplikacji, język systemowy, strefa czasowa. Zbierane automatycznie w celach diagnostycznych.
  • Token powiadomień push - po udzieleniu zgody na otrzymywanie powiadomień, Aplikacja pobiera unikalny token push (Expo Push Token) i przesyła go na serwer Administratora (baza danych Supabase, EU). Token jest powiązany wyłącznie z instalacją Aplikacji na urządzeniu i nie pozwala na identyfikację tożsamości użytkownika. Służy do dostarczania przypomnień o nauce, informacji o nowych materiałach i powiadomień związanych z kontem.
  • Dane analityczne Aplikacji (Vexo) - dane o korzystaniu z Aplikacji zbierane przez Vexo Analytics, w tym: wyświetlenia ekranów, interakcje z elementami interfejsu, czas spędzony w Aplikacji, wersja Aplikacji, model urządzenia i system operacyjny. Po zalogowaniu dane mogą być powiązane z adresem e-mail użytkownika w celu analizy zachowań i poprawy jakości Usługi.
  • Dane o użyciu Aplikacji (Expo Insights) - anonimowe, zagregowane dane o uruchomieniach Aplikacji i przyjęciu aktualizacji, zbierane automatycznie przez moduł Expo Insights i przekazywane do 650 Industries Inc. (Expo). Dane nie zawierają treści użytkownika, danych osobowych ani identyfikatorów pozwalających na identyfikację konkretnej osoby.
  • Dane przechowywane lokalnie - preferencje użytkownika, dane sesji i token uwierzytelniania przechowywane są w bezpiecznym magazynie urządzenia (Secure Store / Keychain na iOS, EncryptedSharedPreferences na Android). Dane te nie opuszczają urządzenia.

3. Cele przetwarzania danych

Dane osobowe przetwarzamy w następujących celach:

  • Świadczenie Usługi - utworzenie i prowadzenie konta, udostępnianie zadań, śledzenie postępów, synchronizacja między urządzeniami.
  • Obsługa płatności - realizacja jednorazowej opłaty za pełny dostęp, weryfikacja statusu płatności, obsługa zwrotów.
  • Diagnostyka i stabilność - wykrywanie i naprawianie błędów, monitorowanie wydajności Usługi.
  • Analityka produktowa - anonimowa analiza sposobu korzystania z funkcji w celu ich ulepszania.
  • Marketing i pomiar kampanii (wyłącznie Aplikacja, wyłącznie za zgodą) - pomiar skuteczności kampanii reklamowych, optymalizacja pozyskiwania użytkowników.
  • Komunikacja - odpowiedzi na pytania użytkowników, powiadomienia o istotnych zmianach w Usłudze.
  • Obowiązki prawne - przechowywanie danych transakcyjnych wymaganych przez przepisy podatkowe i księgowe.

4. Podstawa prawna przetwarzania (RODO)

Dane osobowe przetwarzamy na następujących podstawach prawnych wynikających z Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO):

  • Art. 6 ust. 1 lit. a) RODO - zgoda - przetwarzanie identyfikatora reklamowego (IDFA/GAID), przekazywanie danych do Meta SDK w celach reklamowych, wysyłanie powiadomień push. Zgodę można wycofać w dowolnym momencie (patrz sekcja 10).
  • Art. 6 ust. 1 lit. b) RODO - wykonanie umowy - prowadzenie konta, świadczenie usług edukacyjnych, obsługa płatności, synchronizacja postępów.
  • Art. 6 ust. 1 lit. c) RODO - obowiązek prawny - przechowywanie danych transakcyjnych wymaganych przez przepisy podatkowe (Ordynacja podatkowa, ustawa o rachunkowości).
  • Art. 6 ust. 1 lit. f) RODO - uzasadniony interes - zapewnienie bezpieczeństwa Usługi, analityka produktowa (PostHog), diagnostyka błędów (Sentry), ochrona przed nadużyciami.

5. App Tracking Transparency (iOS)

  1. Przy pierwszym uruchomieniu Aplikacji na urządzeniu z systemem iOS 14.5 lub nowszym wyświetlamy systemowe okno dialogowe App Tracking Transparency (ATT) z prośbą o zgodę na śledzenie aktywności w aplikacjach i witrynach innych firm.
  2. Jeżeli użytkownik wyrazi zgodę (status "granted"), Aplikacja odczytuje identyfikator reklamowy (IDFA) i przekazuje go do Meta (Facebook) SDK w celu pomiaru skuteczności kampanii reklamowych.
  3. Jeżeli użytkownik odmówi lub nie udzieli odpowiedzi, identyfikator reklamowy nie jest odczytywany. Meta SDK może w dalszym ciągu odbierać zagregowane zdarzenia (SKAdNetwork), lecz bez możliwości identyfikacji konkretnego użytkownika.
  4. Decyzję można zmienić w dowolnym momencie w ustawieniach systemowych urządzenia: Ustawienia > Prywatność i bezpieczeństwo > Śledzenie.

6. Powiadomienia push

  1. Aplikacja może wysyłać powiadomienia push, w tym: przypomnienia o codziennej nauce, przypomnienia o passie (streak), informacje o nowych funkcjach i materiałach edukacyjnych oraz powiadomienia związane z kontem użytkownika.
  2. Powiadomienia push inicjowane są z serwera Administratora. Treść i moment wysyłki powiadomień określa wyłącznie Administrator. Powiadomienia przekazywane są do urządzenia za pośrednictwem Expo Push Notification Service (650 Industries Inc., US), który pełni rolę pośrednika technicznego (relay) przekazującego je do Apple Push Notification Service (APNs) na iOS oraz Firebase Cloud Messaging (FCM) na Android. Expo nie przechowuje treści powiadomień po ich dostarczeniu.
  3. W celu dostarczania powiadomień Aplikacja pobiera unikalny token push (Expo Push Token) przypisany do instalacji Aplikacji na urządzeniu. Token ten jest przesyłany i przechowywany na serwerze Administratora (baza danych Supabase, serwer EU). Token nie pozwala na identyfikację tożsamości użytkownika - jest powiązany wyłącznie z konkretną instalacją Aplikacji na konkretnym urządzeniu.
  4. Przed włączeniem powiadomień Aplikacja prosi o zgodę za pomocą systemowego okna dialogowego. Bez udzielenia zgody żadne powiadomienia nie są wysyłane, a token push nie jest pobierany.
  5. Użytkownik może w dowolnym momencie wyłączyć powiadomienia w ustawieniach systemowych urządzenia lub w ustawieniach Aplikacji. Wyłączenie powiadomień skutkuje zaprzestaniem ich wysyłania i usunięciem tokenu push z naszego serwera.

7. Podmioty przetwarzające i usługi zewnętrzne

W celu świadczenia Usługi powierzamy przetwarzanie danych następującym podmiotom (procesorom):

7.1. Wspólne (Serwis i Aplikacja)

  • Supabase Inc. (serwer EU, Frankfurt) - baza danych i uwierzytelnianie. Przechowuje dane kont, postępy i dane transakcji.
  • Stripe Inc. (certyfikat PCI DSS Level 1) - obsługa płatności kartą, BLIK, Przelewy24, Apple Pay, Google Pay.
  • Functional Software Inc. (Sentry) (EU/US) - monitoring błędów i wydajności. Zbiera raporty o awariach bez danych pozwalających na identyfikację użytkownika.
  • PostHog Inc. (serwer EU) - anonimowa analityka produktowa. Dane przechowywane w pamięci sesji, bez trwałego identyfikatora.

7.2. Wyłącznie Serwis (strona www)

  • Vercel Inc. (edge network, EU/US) - hosting i dostarczanie serwisu internetowego.
  • Google LLC (Google OAuth) - opcjonalne logowanie przez konto Google. Otrzymujemy wyłącznie adres e-mail i imię.

7.3. Wyłącznie Aplikacja mobilna

  • Meta Platforms Inc. (Facebook SDK) - pomiar konwersji kampanii reklamowych. Zbiera identyfikator reklamowy (IDFA/GAID) tylko po udzieleniu zgody ATT. Bez zgody odbiera wyłącznie zagregowane dane SKAdNetwork/Privacy Sandbox. Przetwarzanie na podstawie Polityki prywatności Meta.
  • Apple Inc. (App Store, In-App Purchase) - obsługa zakupów w Aplikacji na iOS. Przetwarzanie na podstawie Polityki prywatności Apple.
  • Google LLC (Google Play, In-App Billing) - obsługa zakupów w Aplikacji na Android. Przetwarzanie na podstawie Polityki prywatności Google.
  • VexoAI (US) - analityka Aplikacji mobilnej. Zbiera dane o wyświetleniach ekranów, interakcjach, czasie użytkowania oraz dane urządzenia (model, system operacyjny). Po zalogowaniu użytkownika dane mogą być powiązane z adresem e-mail w celu analizy zachowań. Przetwarzanie na podstawie Polityki prywatności Vexo.
  • 650 Industries Inc. (Expo) (US) - pośrednik techniczny (relay) w dostarczaniu powiadomień push. Expo Push Notification Service przyjmuje powiadomienia z serwera Administratora i przekazuje je do APNs (Apple) oraz FCM (Google). Expo nie przechowuje treści powiadomień po dostarczeniu i nie ma dostępu do bazy tokenów push Administratora. Ponadto zbiera anonimowe dane o użyciu Aplikacji za pośrednictwem modułu Expo Insights (uruchomienia, przyjęcie aktualizacji).

8. Przekazywanie danych do państw trzecich

  1. Dane są przetwarzane głównie na terenie Unii Europejskiej i Europejskiego Obszaru Gospodarczego (EU/EOG). Baza danych (Supabase) i analityka (PostHog) zlokalizowane są na serwerach w Unii Europejskiej.
  2. W przypadku transferu danych do Stanów Zjednoczonych (Stripe, Vercel, Sentry, Meta, Apple, Google, Vexo, Expo) odbywa się to na podstawie:
    • Decyzji wykonawczej Komisji Europejskiej z dnia 10 lipca 2023 r. stwierdzającej odpowiedni poziom ochrony danych w ramach EU-US Data Privacy Framework (DPF) - dla podmiotów certyfikowanych w DPF.
    • Standardowych Klauzul Umownych (SCC) przyjętych decyzją Komisji Europejskiej 2021/914 - dla pozostałych podmiotów.
  3. Dane nie są sprzedawane ani udostępniane podmiotom trzecim w celach marketingu bezpośredniego prowadzonego przez te podmioty.

9. Okres przechowywania danych

  • Dane konta i postępy - przechowywane do momentu usunięcia konta przez użytkownika lub do momentu zgłoszenia żądania usunięcia danych.
  • Dane transakcji płatniczych - przechowywane przez 5 lat od końca roku podatkowego, w którym dokonano transakcji, zgodnie z art. 74 ustawy o rachunkowości i art. 86 Ordynacji podatkowej.
  • Dane diagnostyczne (Sentry) - automatycznie usuwane po 90 dniach.
  • Dane analityczne (PostHog) - przechowywane w pamięci sesji, usuwane po zamknięciu Aplikacji lub przeglądarki.
  • Logi serwera (Vercel) - przechowywane przez maksymalnie 30 dni.
  • Tokeny powiadomień push - przechowywane na serwerze do momentu wyłączenia powiadomień przez użytkownika, usunięcia konta lub odinstalowania Aplikacji. Nieaktywne tokeny (brak interakcji przez 90 dni) są automatycznie usuwane.
  • Dane lokalne na urządzeniu - przechowywane do momentu odinstalowania Aplikacji lub ręcznego wyczyszczenia danych Aplikacji w ustawieniach urządzenia.

10. Prawa użytkownika

Zgodnie z RODO (rozdział III, art. 15-22), każdemu użytkownikowi przysługują następujące prawa:

  • Prawo dostępu (art. 15) - uzyskanie potwierdzenia, czy dane są przetwarzane, oraz dostęp do ich kopii.
  • Prawo do sprostowania (art. 16) - poprawienie nieprawidłowych lub niekompletnych danych.
  • Prawo do usunięcia(art. 17) - usunięcie danych ("prawo do bycia zapomnianym"), z zastrzeżeniem obowiązków wynikających z przepisów prawa (np. dane podatkowe).
  • Prawo do ograniczenia przetwarzania (art. 18) - ograniczenie przetwarzania w określonych przypadkach.
  • Prawo do przenoszenia danych (art. 20) - otrzymanie danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego.
  • Prawo do sprzeciwu (art. 21) - wniesienie sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie Administratora.
  • Prawo do cofnięcia zgody (art. 7 ust. 3) - cofnięcie zgody na przetwarzanie w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem.
  • Prawo do skargi - wniesienie skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Aby skorzystać z powyższych praw, prosimy o kontakt na adres: contact@sprawnamatura.pl. Tożsamość wnioskodawcy zostanie zweryfikowana przed realizacją żądania. Na każde zgłoszenie odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu 30 dni od otrzymania żądania. W przypadku skomplikowanych lub licznych żądań termin może zostać przedłużony o kolejne 60 dni, o czym użytkownik zostanie poinformowany.

11. Usunięcie konta i danych z Aplikacji mobilnej

  1. Użytkownik może zażądać usunięcia konta i wszystkich powiązanych danych, wysyłając wiadomość na adres contact@sprawnamatura.pl lub korzystając z opcji dostępnej na stronie Usuwanie konta.
  2. Po otrzymaniu żądania usuwamy dane konta, postępy w nauce i powiązane dane w ciągu 30 dni. Dane transakcji płatniczych przechowujemy przez okres wymagany przepisami prawa (patrz sekcja 9).
  3. Dane przechowywane lokalnie na urządzeniu (preferencje, cache) zostaną usunięte po odinstalowaniu Aplikacji.

12. Bezpieczeństwo danych

Stosujemy odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych przed nieautoryzowanym dostępem, utratą, zniszczeniem lub ujawnieniem:

  • szyfrowanie transmisji protokołem TLS 1.2+ (HTTPS) dla wszystkich połączeń z serwerami,
  • szyfrowane połączenia z bazą danych (Supabase, SSL),
  • obsługa płatności zgodna ze standardem PCI DSS Level 1 (Stripe),
  • bezpieczne przechowywanie haseł z wykorzystaniem algorytmu bcrypt (Supabase Auth),
  • przechowywanie tokenów sesji w Secure Store (iOS Keychain, Android EncryptedSharedPreferences) w Aplikacji mobilnej,
  • rate limiting (ograniczenie liczby żądań) na endpointach API w celu ochrony przed atakami brute-force,
  • ochrona CSRF (Cross-Site Request Forgery) na wszystkich endpointach modyfikujących dane,
  • automatyczne monitorowanie błędów i anomalii (Sentry).

13. Dane dzieci

Usługa jest przeznaczona dla uczniów szkół ponadpodstawowych przygotowujących się do egzaminu maturalnego. Nie zbieramy świadomie danych osobowych osób poniżej 16 roku życia bez zgody rodzica lub opiekuna prawnego. Jeżeli Administrator poweźmie informację o przetwarzaniu danych osoby poniżej 16 lat bez wymaganej zgody, niezwłocznie podejmie kroki w celu usunięcia takich danych.

14. Zautomatyzowane podejmowanie decyzji i profilowanie

Administrator nie stosuje zautomatyzowanego podejmowania decyzji ani profilowania, o których mowa w art. 22 ust. 1 i 4 RODO, tj. decyzji podejmowanych wyłącznie w sposób zautomatyzowany, które wywołują skutki prawne wobec użytkownika lub w podobny sposób istotnie na niego wpływają.

15. Zmiany polityki prywatności

  1. Administrator zastrzega sobie prawo do aktualizacji niniejszej polityki prywatności. Data ostatniej aktualizacji jest widoczna na górze dokumentu.
  2. O istotnych zmianach (rozszerzenie zakresu zbieranych danych, nowe cele przetwarzania, nowi odbiorcy danych) użytkownicy zostaną powiadomieni drogą mailową lub poprzez komunikat w Usłudze z co najmniej 14-dniowym wyprzedzeniem.
  3. Dalsze korzystanie z Usługi po wejściu w życie zmienionej polityki oznacza akceptację wprowadzonych zmian.

16. Kontakt

W sprawach związanych z ochroną danych osobowych prosimy o kontakt: contact@sprawnamatura.pl.

OUTOFPLACE POLAND sp. z o.o.
ul. Żabia 4, 18-400 Łomża
KRS 0001163427, NIP 7182173789

Zapoznaj się także z naszym Regulaminem.