# Regulamin Korepety **Wersja 1.0 · obowiązuje od `[DATA WEJŚCIA W ŻYCIE]`** > ⚠️ **PROJEKT. Dokument nie był sprawdzony przez prawnika.** Napisany na > podstawie RODO, ustawy o świadczeniu usług drogą elektroniczną, ustawy o > prawach konsumenta i AI Act — oraz na podstawie tego, co aplikacja > **faktycznie robi** w dniu wydania tej wersji. Powód, dla którego prawnik go > jeszcze nie czytał, jest zapisany w `PLAN.md` §4.9. ## Czym jest ten dokument **To jeden dokument i jedno oświadczenie.** Regulamin, umowa powierzenia przetwarzania danych, wykaz podprocesorów, informacja o prywatności, zasady korzystania ze sztucznej inteligencji i informacja o przetwarzaniu danych ucznia są w nim **częściami**, a nie osobnymi papierami. Ma jeden numer wersji i jedną datę. **Korepetytor i Uczeń akceptują go tym samym oświadczeniem, jeden raz — przy zakładaniu konta** (§7). Żadnych innych zgód, formularzy ani podpisów Aplikacja nie zbiera. I tak samo w całości opisuje on aplikację — również to, czego aplikacja **nie robi** (§4). | Część | Co zawiera | Charakter | |---|---|---| | **I. Umowa o korzystanie z aplikacji** (§1–§16) | usługa, konto, plany, limit AI, odstąpienie, rozwiązanie umowy, odpowiedzialność, reklamacje | **umowa** — wiąże strony | | **II. Sztuczna inteligencja** (§17–§18) | co robi model, kto decyduje, jak treści są oznaczane, gdzie model się myli | **umowa** | | **III. Dane osobowe — role i umowa powierzenia** (§19–§35) | kto jest administratorem, a kto podmiotem przetwarzającym; obowiązki z art. 28 RODO | **umowa** — umowa powierzenia w rozumieniu art. 28 ust. 3 RODO | | **IV. Informacja o prywatności dla Korepetytora** (§36–§46) | jakie dane Korepetytora zbieramy, po co, jak długo, jakie ma prawa | **informacja** z art. 13 RODO — przyjmowana do wiadomości | | **V. Informacja o przetwarzaniu danych Ucznia** (§47–§49) | co dzieje się z danymi ucznia i jego rodzica; kto za nie odpowiada | **informacja** z art. 13 i 14 RODO — przekazywana przez Korepetytora jako administratora | | **VI. Postanowienia końcowe** (§50–§52) | zmiany, prawo właściwe, wersje, dokumenty powiązane | umowa | | **Załącznik A** | wykaz podprocesorów | część umowy powierzenia | | **Załącznik B** | wzór odstąpienia od umowy | wzór | **Stan na dzień wydania wersji 1.0, powiedziany wprost:** aplikacja jest w **becie**. Dostęp jest bezpłatny i wydawany imiennie; **płatności nie są uruchomione** — postanowienia o planach płatnych (§8–§12) zaczynają obowiązywać z dniem otwarcia sprzedaży i do tego dnia nie wywołują skutków. --- # Część I. Umowa o korzystanie z aplikacji ## §1. Definicje | Pojęcie | Znaczenie | |---|---| | **Usługodawca** | `[IMIĘ I NAZWISKO USŁUGODAWCY]`, `[FORMA DZIAŁALNOŚCI]`, `[ADRES DO KORESPONDENCJI]` — podmiot prowadzący Aplikację | | **Aplikacja / Korepeta** | serwis internetowy dostępny pod adresem [korepeta.com](https://korepeta.com) wraz z panelem korepetytora, panelem ucznia i stroną raportów dla rodzica | | **Korepetytor / Usługobiorca** | osoba, która założyła w Aplikacji konto korepetytora i prowadzi w niej swoje zajęcia — strona umowy zawieranej na podstawie tego Regulaminu | | **Uczeń** | osoba ucząca się, która założyła konto ucznia z zaproszenia Korepetytora i złożyła oświadczenie z §7 ust. 3; Uczeń korzysta z Aplikacji w ramach zajęć u Korepetytora | | **Rodzic** | rodzic lub opiekun prawny Ucznia niepełnoletniego — strona umowy o zajęcia z Korepetytorem; odbiorca strony raportów | | **Gabinet** | wydzielona przestrzeń danych jednego Korepetytora: jego uczniowie, zajęcia, prace, oceny i raporty | | **Plan** | wariant odpłatności za dostęp do Aplikacji (§8) | | **Limit AI** | ilość pracy funkcji sztucznej inteligencji objęta Planem w danym okresie rozliczeniowym, pokazywana w Aplikacji jako **skala procentowa** (§9) | | **Okres rozliczeniowy** | miesiąc liczony od dnia opłacenia Planu, a w Planie próbnym — 30 dni | | **Konsument** | Korepetytor będący osobą fizyczną, zawierający umowę niezwiązaną bezpośrednio z jego działalnością gospodarczą lub zawodową (art. 22¹ Kodeksu cywilnego) | | **Przedsiębiorca na prawach konsumenta** | osoba fizyczna prowadząca działalność gospodarczą, dla której umowa nie ma charakteru zawodowego (art. 7aa ustawy o prawach konsumenta) | | **Model** | model językowy dostawcy zewnętrznego, z którego korzysta Aplikacja (§17) | | **Oświadczenie** | jedno oświadczenie o wieku i akceptacji Regulaminu, składane przy zakładaniu konta (§7 ust. 2) | > **Uwaga o statusie Korepetytora.** Większość korepetytorów korzysta z > Aplikacji **na potrzeby swojej działalności zarobkowej**, więc nie każdy > będzie konsumentem. Regulamin jest napisany tak, żeby prawa konsumenta (§11, > §15, §16) przysługiwały każdemu, kto się pod te definicje łapie, i żeby nikt > inny nie był w gorszej sytuacji, niż wynika to z przepisów. ## §2. Usługodawca i kontakt | | | |---|---| | Nazwa | `[IMIĘ I NAZWISKO USŁUGODAWCY]` | | Forma działalności | `[FORMA DZIAŁALNOŚCI]` | | Adres do korespondencji | `[ADRES DO KORESPONDENCJI]` | | E-mail | `[E-MAIL KONTAKTOWY]` | | Adres serwisu | [korepeta.com](https://korepeta.com) | Usługodawca **nie jest** czynnym podatnikiem VAT (zwolnienie z art. 113 ustawy o VAT) — ceny w §8 są cenami ostatecznymi, bez podatku VAT do doliczenia. Kontakt we wszystkich sprawach — pisemnie na adres e-mail powyżej. Odpowiedź przychodzi na ten sam adres, z którego napisano. Ten sam adres służy do **zgłaszania treści bezprawnych** (§6) i do spraw ochrony danych (Części III, IV i V). ## §3. Rodzaj i zakres świadczonych usług *(art. 8 ust. 3 pkt 1 ustawy o świadczeniu usług drogą elektroniczną)* Usługa polega na udostępnieniu Korepetytorowi, drogą elektroniczną, dostępu do Aplikacji jako narzędzia pracy. W ramach dostępu Korepetytor może: 1. **prowadzić gabinet** — dodawać uczniów, wysyłać im zaproszenia, prowadzić kalendarz zajęć i notatki z lekcji, łączyć uczniów w grupy; 2. **zadawać i sprawdzać prace domowe** — układać zadania z punktacją, odbierać od uczniów zdjęcia rozwiązań, wystawiać oceny i komentarze, korzystać z banku zadań; 3. **korzystać z funkcji sztucznej inteligencji** (Część II) — wstępne sprawdzenie pracy ucznia, propozycja zadań domowych, redakcja opisu zajęć i raportu dla rodzica; **każdy wynik pracy Modelu jest propozycją, którą Korepetytor zatwierdza albo poprawia**; 4. **udostępniać rodzicowi stronę raportów** — prywatny link do strony z postępami dziecka, wraz z powiadomieniami w przeglądarce; 5. **prowadzić statystyki ucznia** — terminowość, wyniki, „ognik" serii. Uczeń korzysta z konta ucznia: odbiera zadania, oddaje prace zdjęciem, widzi oceny, komentarze i swoje statystyki. **Usługa nie obejmuje** i Usługodawca nie świadczy: rozliczeń finansowych między Korepetytorem a uczniami i rodzicami, pośrednictwa w znajdowaniu uczniów, prowadzenia zajęć, wideorozmów ani przechowywania dokumentów księgowych. **Aplikacja jest narzędziem, a nie usługą edukacyjną.** Za treść zajęć, treść zadań, poprawność ocen i wszystko, co Korepetytor mówi swoim uczniom i rodzicom, odpowiada Korepetytor. ## §4. Aplikacja taka, jaka jest — granice, które przyjmujesz Ten paragraf istnieje po to, żeby nikt nie dowiedział się o granicy Aplikacji w dniu, w którym o nią zahaczy. **Składając Oświadczenie, przyjmujesz Aplikację taką, jaką opisuje ten paragraf**, i nie żądasz od Usługodawcy funkcji, których tu nie ma. Każde z poniższych stwierdzeń da się sprawdzić w Aplikacji. 1. **Beta, jedna osoba, bez gwarancji dostępności.** Aplikację prowadzi jedna osoba, bez zespołu, bez dyżurów i bez umowy SLA (§14). Przerwy i błędy są możliwe. 2. **Płatności nie działają.** Dostęp jest bezpłatny i imienny. Postanowienia o planach (§8–§12) czekają na otwarcie sprzedaży. 3. **Ocena zawsze przechodzi przez człowieka — i nie da się tego wyłączyć w drugą stronę.** Propozycja Modelu nie staje się oceną bez czynności Korepetytora (§17). Nie ma trybu „zatwierdź wszystko". 4. **Nie ma wyłącznika AI dla pojedynczego ucznia.** Wstępne sprawdzenie uruchamia się przy każdej pracy oddanej zdjęciem i jest częścią usługi. Kto nie akceptuje sprawdzania prac przez Model, nie korzysta z Aplikacji — trybu „sprawdzam tylko ręcznie" nie ma. 5. **Nie ma osobnego usunięcia samych zdjęć.** Żądanie usunięcia zdjęć prac wykonuje się przez **usunięcie konta ucznia z całą jego zawartością** (zadania, oceny, raporty, postępy). Usunięcie kasuje pliki z magazynu naprawdę, a nie chowa ich z widoku. 6. **Terminy przechowywania pilnuje procedura, a nie automat.** Zadanie cykliczne, które kasowałoby dane po upływie z góry ustalonego czasu, jest napisane, ale **nie jest uruchomione**. Dane znikają, gdy Korepetytor usunie ucznia, gdy kończy się umowa (§13) albo na żądanie. Dlatego dokument nie obiecuje liczby miesięcy. 7. **Imię ucznia może dotrzeć do Modelu dwiema drogami**, których nie da się wyczyścić bez zepsucia usługi: podpisem na fotografowanej kartce i treścią notatek Korepetytora, z których powstaje sprawozdanie. Pola, którym imię trafiałoby tam inaczej, nie ma (§17 ust. 7). 8. **Animacje w reakcjach pobierane są wprost z serwerów Giphy (USA).** Przeglądarka ucznia łączy się z nimi już przy przeglądaniu wyników wyszukiwania i ujawnia wtedy adres IP urządzenia. Kto nie chce tego połączenia — nie otwiera zakładki z animacjami; zwykłe emoji działają bez niej. 9. **Zdjęcia: tylko obrazy, bez PDF.** Aplikacja przyjmuje pliki JPEG, PNG, WebP i HEIC/HEIF, do 8 stron na jedną pracę. Plik PDF jest odrzucany. Metadane zdjęcia (w tym współrzędne GPS) są usuwane w przeglądarce przed wysłaniem; **plik, którego struktury nie udało się rozpoznać, przechodzi bez zmian**, zamiast zostać odrzucony. 10. **Kopie zapasowe wykonuje Usługodawca własnym narzędziem, ręcznie.** Dostawca bazy danych w bieżącym planie kopii nie wykonuje. Odtworzenie danych usuniętych przez samego Korepetytora nie jest gwarantowane (§14). 11. **Przy opublikowanych sprawozdaniach nie da się ustalić, którym modelem i którą wersją polecenia zostały napisane** — Aplikacja tych danych nie zapisuje. Oznaczenie mówi wtedy „wygenerowano z pomocą AI", bez szczegółów (§17 ust. 4). 12. **Wiek potwierdza oświadczenie, nie weryfikacja.** Konto zakłada osoba, która oświadcza, że ma ukończone 18 lat (§7). Usługodawca nie sprawdza wieku w żaden inny sposób i nie zbiera zgód rodziców — za ucznia niepełnoletniego, którego zaprasza, odpowiada Korepetytor na podstawie swojej umowy o zajęcia z jego rodzicem (§19 ust. 4). 13. **Dostawca Modelu może wyłączyć funkcje AI z dnia na dzień.** Warunki dostawcy Modelu zastrzegają, że jego usługi generatywne nie są przeznaczone do serwisów dostępnych dla osób poniżej 18 lat, i pozwalają mu zawiesić do nich dostęp bez uprzedzenia. Usługodawca nie gwarantuje więc ciągłości funkcji AI (§9 ust. 1, §14); reszta Aplikacji działa wtedy dalej. 14. **Funkcje serwerowe Aplikacji działają w Stanach Zjednoczonych.** Dane spoczywają w Unii Europejskiej (Frankfurt), ale każde żądanie przechodzi przez serwer w USA (Załącznik A, §40). Podstawą przekazania są standardowe klauzule umowne i decyzja o odpowiednim stopniu ochrony. 15. **Dokumenty nie były sprawdzone przez prawnika** i mówią o tym w nagłówku. Jeżeli którakolwiek z tych granic jest dla Ciebie nie do przyjęcia, właściwą chwilą, żeby o tym powiedzieć, jest chwila przed złożeniem Oświadczenia — a nie po zaproszeniu pierwszego ucznia. ## §5. Wymagania techniczne *(art. 8 ust. 3 pkt 2 lit. a uśude)* Do korzystania z Aplikacji potrzebne są: - urządzenie z dostępem do internetu i przeglądarką w aktualnej wersji (Chrome, Safari, Firefox lub Edge — wersja bieżąca albo jedna poprzednia); - **włączona obsługa JavaScript** i plików cookie własnych serwisu (bez tego nie da się zalogować); - czynny adres e-mail; - do wgrywania zdjęć prac — telefon z aparatem albo skan zapisany jako plik graficzny **JPEG, PNG, WebP lub HEIC/HEIF**, do 8 stron na jedną pracę; **pliki PDF nie są przyjmowane**; - do powiadomień — przeglądarka obsługująca Web Push; powiadomienia są opcjonalne i ich brak nie ogranicza reszty funkcji. Aplikacja **nie stosuje** ciasteczek marketingowych ani trackerów zewnętrznych; używa wyłącznie ciasteczek niezbędnych do utrzymania sesji zalogowania. Z tego powodu nie wyświetla banera zgody na ciasteczka — nie ma na co jej zbierać (§44). **Ryzyka techniczne** związane z korzystaniem z usług świadczonych drogą elektroniczną są takie, jak przy każdej innej usłudze internetowej: przejęcie hasła przez osobę trzecią, złośliwe oprogramowanie na urządzeniu, phishing podszywający się pod Aplikację. Usługodawca zaleca hasło unikalne dla tego serwisu i niepodawanie go nikomu — Usługodawca **nigdy** nie prosi o hasło ani e-mailem, ani w rozmowie. ## §6. Zakaz dostarczania treści bezprawnych *(art. 8 ust. 3 pkt 2 lit. b uśude)* Korepetytor i Uczeń zobowiązują się nie umieszczać w Aplikacji treści bezprawnych, a w szczególności: 1. danych osobowych osób trzecich, do których przetwarzania nie ma podstawy prawnej — w tym danych uczniów, dla których nie ma podstawy z §19; 2. **danych szczególnych kategorii** (art. 9 RODO): o zdrowiu, wyznaniu, pochodzeniu, orientacji, poglądach. Aplikacja nie jest do tego przeznaczona i nie ma dla takich danych ani odpowiedniego pola, ani odpowiednich zabezpieczeń; 3. treści obraźliwych, poniżających albo nękających kogokolwiek, w tym ucznia; 4. materiałów naruszających cudze prawa autorskie — skanów podręczników, zbiorów zadań i arkuszy w zakresie wykraczającym poza dozwolony użytek; 5. treści niezgodnych z prawem karnym. Naruszenie tego paragrafu uprawnia Usługodawcę do działań z §13 ust. 4. **Zgłoszenie treści bezprawnej.** Każdy — także osoba niebędąca użytkownikiem — może zgłosić treść, którą uważa za bezprawną, na adres `[E-MAIL KONTAKTOWY]`, wskazując, gdzie treść się znajduje i dlaczego jest bezprawna. Usługodawca rozpatruje zgłoszenie bez zbędnej zwłoki i informuje zgłaszającego o decyzji. Usługodawca nie przegląda zawartości gabinetów z własnej inicjatywy (§24 ust. 3) — o treści bezprawnej dowiaduje się ze zgłoszenia. ## §7. Konto, Oświadczenie i zawarcie umowy *(art. 8 ust. 3 pkt 3 uśude)* 1. **Konto zakłada osoba, która oświadcza, że ma ukończone 18 lat.** Rejestracja odbywa się **na zaproszenie**: konto korepetytora otwiera Usługodawca imiennie (na etapie bety), konto ucznia — Korepetytor, wysyłając link. Usługodawca nie weryfikuje wieku w żaden inny sposób niż Oświadczeniem. 2. **Oświadczenie jest jedno, takie samo dla Korepetytora i dla Ucznia, i składa się je raz — przy zakładaniu konta.** Jest obowiązkowe i domyślnie niezaznaczone; bez niego konto nie powstaje. Brzmi: > ☐ Oświadczam, że mam ukończone 18 lat, i zakładając konto akceptuję > Regulamin Korepety (wersja 1.0) w całości — wraz z umową powierzenia > przetwarzania danych, informacją o prywatności i zasadami korzystania ze > sztucznej inteligencji — i przyjmuję aplikację taką, jaką ten dokument > opisuje. Aplikacja zapisuje przy koncie **numer zaakceptowanej wersji i chwilę złożenia Oświadczenia**. Żadnych innych zgód, formularzy ani podpisów Aplikacja nie zbiera — ani od Korepetytora, ani od Ucznia, ani od jego rodzica. 3. **Dla Korepetytora** Oświadczenie oznacza zawarcie umowy o korzystanie z Aplikacji, w tym umowy powierzenia z Części III (art. 28 ust. 9 RODO dopuszcza formę elektroniczną). **Dla Ucznia** Oświadczenie oznacza przyjęcie zasad korzystania z konta ucznia (§3, §5, §6, Część II, Część V). Stroną umowy z Usługodawcą jest Korepetytor; Uczeń korzysta z Aplikacji na jego zaproszenie, w ramach zajęć, a jeżeli jest niepełnoletni — na podstawie umowy o zajęcia, którą jego rodzic lub opiekun ma z Korepetytorem (§19 ust. 4). 4. Umowa jest zawarta **na czas nieokreślony**. Po otwarciu sprzedaży jest rozliczana w okresach miesięcznych albo — w Planie próbnym — na 30 dni. 5. Przycisk kończący zamówienie płatne jest oznaczony słowami **„Zamawiam z obowiązkiem zapłaty"**; przed jego naciśnięciem widoczne są: nazwa Planu, cena, długość okresu rozliczeniowego i informacja o odnawianiu. 6. Regulamin jest udostępniany przed zawarciem umowy pod adresem `korepeta.com/regulamin`, w formie pozwalającej na jego pobranie, odtworzenie i utrwalenie (art. 8 ust. 1 pkt 2 uśude). Numer wersji obowiązującej w dniu złożenia Oświadczenia jest zapisany przy koncie, a tekst tej wersji Usługodawca udostępnia na żądanie także po jej zmianie (§51 ust. 4). 7. Jedno konto należy do jednej osoby. Współdzielenie konta przez kilku korepetytorów jest niedozwolone — nie z powodu opłaty, lecz dlatego, że każdy Korepetytor jest osobnym administratorem danych swoich uczniów (§19) i wspólne konto uniemożliwia rozdzielenie odpowiedzialności. ## §8. Plany i płatności > **Płatności nie są jeszcze uruchomione.** Postanowienia dotyczące planów > płatnych zaczynają obowiązywać wraz z otwarciem sprzedaży; w trwającej becie > dostęp jest bezpłatny i wydawany imiennie. 1. Plany i ceny: | Plan | Cena | Czas | Limit AI | Uwagi | |---|---|---|---|---| | **Próbny** | **5,00 zł jednorazowo** | 30 dni | ok. 3,94 zł pracy Modelu (całość kwoty pomniejszona o prowizję Stripe) = 100 % skali | jednorazowy, nie odnawia się | | **Wczesny** *(`early`)* | **19,50 zł / miesiąc** | miesięcznie, odnawialny | 100 % skali | dla pierwszych **50** korepetytorów; cena zostaje na czas trwania nieprzerwanej subskrypcji | | **Standardowy** | **39,00 zł / miesiąc** | miesięcznie, odnawialny | 100 % skali | plan podstawowy | | **Beta** | 0 zł | do odwołania | ustala Usługodawca indywidualnie | wyłącznie na imienne zaproszenie | 2. **Nie ma darmowego wejścia z ulicy** i jest to świadoma decyzja: opłata za Plan próbny w wysokości 5,00 zł jest filtrem odsiewającym rejestracje automatyczne. Całość kwoty po odliczeniu prowizji operatora płatności (ok. 1,06 zł) trafia bezpośrednio do limitu pracy Modelu AI (ok. 3,94 zł). 3. Liczba miejsc w Planie wczesnym jest ograniczona do 50 i liczona w systemie. Po wyczerpaniu miejsc plan przestaje być oferowany; osoby, które zdążyły, zachowują cenę. 4. **Operatorem płatności jest Stripe Payments Europe, Ltd.** Płatność odbywa się na stronie operatora; Usługodawca **nie otrzymuje i nie przechowuje** numeru karty ani danych uwierzytelniających do BLIK-a. 5. Dostępne metody płatności: karta płatnicza, BLIK, Apple Pay / Google Pay — w zakresie, w jakim udostępnia je operator. Cykliczne pobranie BLIK-iem może być niedostępne; wtedy odnowienie wymaga karty. 6. Płatność za kolejny okres pobierana jest automatycznie w dniu odnowienia. Potwierdzenie płatności przychodzi e-mailem od operatora. 7. Faktury: Usługodawca `[FORMA DZIAŁALNOŚCI]` wystawia **rachunek** na żądanie zgłoszone w ciągu 3 miesięcy od zapłaty. Fakturę VAT wystawia wyłącznie, gdy prowadzi zarejestrowaną działalność — wtedy dla nabywcy z NIP wystawia ją w Krajowym Systemie e-Faktur. 8. **Zmiana cen** nie dotyczy trwającego okresu rozliczeniowego. O zmianie Usługodawca informuje na 30 dni naprzód, w trybie §50; brak zgody oznacza możliwość wypowiedzenia bez żadnych kosztów, ze skutkiem na koniec opłaconego okresu. ## §9. Limit AI — co jest kupowane 1. Plan obejmuje **określoną ilość pracy funkcji sztucznej inteligencji** w okresie rozliczeniowym. W Aplikacji jest ona pokazana jako **skala procentowa**: 100 % to cały limit Planu, niezależnie od Planu. W becie limit ustala Usługodawca indywidualnie i może go w każdej chwili obniżyć do zera — wtedy funkcje AI są wyłączone, a reszta Aplikacji działa. Funkcje AI mogą też zostać wyłączone z przyczyn leżących po stronie dostawcy Modelu (§4 ust. 13). 2. Kupowane są **czynności** (sprawdzenie pracy, ułożenie zadań, redakcja raportu), a nie jednostki rozliczeniowe Modelu. Przy typowym używaniu limit Planu miesięcznego wystarcza na kilkaset takich czynności — więcej, niż zużywa korepetytor pracujący w pełnym wymiarze. 3. **Po wyczerpaniu 100 %** funkcje AI przestają działać do końca okresu rozliczeniowego. **Cała reszta Aplikacji działa normalnie**: kalendarz, uczniowie, zadania układane ręcznie, odbieranie i ocenianie prac, strona raportów dla rodzica. Aplikacja pokazuje wtedy komunikat i proponuje poczekać do początku kolejnego okresu. 4. Limit **nie przechodzi** na następny okres i nie podlega zwrotowi w części niewykorzystanej — jest górnym ograniczeniem, a nie zapasem. 5. Usługodawca może w bezpiecznych granicach ograniczyć częstotliwość wywołań (np. przy oczywistym nadużyciu albo pętli automatycznej). Nie zmienia to wielkości limitu. ## §10. Okres rozliczeniowy, odnowienie, zmiana i rezygnacja 1. Subskrypcja **odnawia się automatycznie** na kolejny miesiąc, dopóki Korepetytor jej nie wypowie. 2. Rezygnacja, zmiana Planu i zmiana karty odbywają się w **panelu klienta operatora płatności**, do którego prowadzi odnośnik w ustawieniach konta. Rezygnacja nie wymaga podania powodu, kontaktu telefonicznego ani rozmowy. 3. Rezygnacja działa **na koniec opłaconego okresu**: do tego dnia Aplikacja działa bez zmian. Za niewykorzystaną część rozpoczętego okresu zwrot nie przysługuje, z wyjątkiem przypadków z §11 i §15. 4. Zmiana Planu na droższy działa od razu, z rozliczeniem proporcjonalnym; zmiana na tańszy — od kolejnego okresu. ## §11. Odstąpienie od umowy przez konsumenta *(art. 27 i nast. ustawy o prawach konsumenta)* 1. Korepetytorowi będącemu **Konsumentem** albo **Przedsiębiorcą na prawach konsumenta** przysługuje prawo odstąpienia od umowy **w terminie 14 dni** od jej zawarcia, bez podania przyczyny i bez ponoszenia kosztów — z zastrzeżeniem ust. 3. 2. Aby odstąpić, wystarczy oświadczenie wysłane na `[E-MAIL KONTAKTOWY]`. Można skorzystać ze wzoru z **Załącznika B**, ale nie trzeba. Do zachowania terminu wystarczy wysłanie oświadczenia przed jego upływem. 3. **Świadczenie usługi płatnej zaczyna się przed upływem 14 dni tylko wtedy, gdy Korepetytor wyraźnie o to poprosi.** Przy zamawianiu Planu jest do tego osobne, **niezaznaczone domyślnie** pole wyboru: > ☐ Żądam rozpoczęcia świadczenia usługi przed upływem terminu do > odstąpienia od umowy. Przyjmuję do wiadomości, że po **całkowitym** > wykonaniu usługi utracę prawo do odstąpienia, a przy odstąpieniu w trakcie > jej wykonywania zapłacę za świadczenie spełnione do chwili odstąpienia. Pole jest **dobrowolne**. Bez jego zaznaczenia zamówienie zostaje przyjęte, ale dostęp do funkcji płatnych rusza po 14 dniach — z czego Aplikacja informuje wprost, zanim pole zostanie pominięte. 4. Przy odstąpieniu po rozpoczęciu świadczenia Konsument płaci kwotę proporcjonalną do zakresu świadczenia spełnionego do chwili odstąpienia (art. 35 upk). Resztę Usługodawca zwraca w ciągu 14 dni, tym samym sposobem, którym otrzymał płatność. 5. Po odstąpieniu Usługodawca nie wykorzystuje treści wprowadzonych przez Korepetytora poza tymi, które są niezbędne do rozliczenia, i udostępnia je na żądanie w postaci pliku nadającego się do odczytu maszynowego (art. 32a i 32b upk). Dane są usuwane w trybie §13 ust. 5. 6. Rezygnacja z subskrypcji jest dostępna **jednym odnośnikiem w ustawieniach konta** — bez konieczności pisania wiadomości i bez rozmowy z kimkolwiek. ## §12. Zaległość w płatności 1. Jeżeli płatność za kolejny okres nie przejdzie, subskrypcja przechodzi w stan **zaległości**. Usługodawca informuje o tym e-mailem i w Aplikacji. 2. Przez **7 dni** od tego dnia Aplikacja działa bez ograniczeń, żeby dało się poprawić kartę albo dopłacić. 3. Po 7 dniach konto przechodzi w **tryb tylko do odczytu**: wszystkie dane są widoczne i można je pobrać, ale nie da się zakładać nowych zajęć ani korzystać z funkcji AI. **Żadne dane nie są w tym trybie usuwane.** 4. Opłacenie zaległości przywraca pełny dostęp natychmiast. ## §13. Rozwiązanie umowy i usunięcie danych 1. Korepetytor może wypowiedzieć umowę w każdej chwili — w trybie §10 ust. 2 ze skutkiem na koniec opłaconego okresu, albo natychmiast, wiadomością na `[E-MAIL KONTAKTOWY]`. W becie wypowiedzeniem jest sama wiadomość. 2. Usługodawca może wypowiedzieć umowę z zachowaniem **30-dniowego** terminu, w szczególności gdy kończy prowadzenie serwisu. W takim wypadku zwraca opłatę za niewykorzystany okres i udostępnia dane do pobrania przed wyłączeniem. 3. Usługodawca może **zawiesić** konto natychmiast, gdy dalsze jego działanie grozi bezpieczeństwu danych innych osób (przejęte konto, atak, automatyczne nadużycie limitu). 4. Usługodawca może rozwiązać umowę **bez zachowania terminu** przy rażącym naruszeniu §6, po uprzednim wezwaniu do zaprzestania naruszenia i bezskutecznym upływie wskazanego w nim terminu — chyba że naruszenie polega na czynie zabronionym, wtedy wezwanie nie jest wymagane. 5. **Po rozwiązaniu umowy dane gabinetu — łącznie z danymi uczniów i zdjęciami ich prac — są przechowywane jeszcze 90 dni, a następnie trwale usuwane**, w tym z magazynu plików. Te 90 dni są po to, żeby dało się wrócić albo pobrać dane; nie są okresem świadczenia usługi. **Usunięcie po upływie terminu wykonuje człowiek, a nie zadanie cykliczne** (§4 ust. 6) — zobowiązanie od tego nie słabnie, ale Korepetytor ma prawo wiedzieć, czym jest zapewnione. 6. Na żądanie Korepetytora zgłoszone przed upływem 90 dni Usługodawca usuwa dane **wcześniej** — niezwłocznie, najpóźniej w ciągu 7 dni. Usunięcie całego gabinetu jest operacją, którą Aplikacja wykonuje jednym poleceniem Usługodawcy; Korepetytor nie musi wcześniej usuwać uczniów pojedynczo. 7. Pozostają wyłącznie dane, których przechowywania wymagają przepisy podatkowe (dowody zapłaty) — przez okres wymagany tymi przepisami, i nic ponad to. ## §14. Dostępność usługi i odpowiedzialność 1. Usługodawca dokłada starań, aby Aplikacja działała bez przerw, ale **nie gwarantuje określonego poziomu dostępności (brak SLA)**. Aplikację prowadzi jedna osoba; przerwy techniczne i awarie dostawców są możliwe. Ciągłości funkcji AI Usługodawca nie gwarantuje także z powodu opisanego w §4 ust. 13. 2. Planowane przerwy techniczne Usługodawca zapowiada w Aplikacji, o ile jest to możliwe, i wyznacza je poza godzinami popołudniowymi. 3. **Kopie zapasowe** bazy danych wykonuje Usługodawca **własnym narzędziem, ręcznie, według wewnętrznej procedury**; dostawca bazy danych w bieżącym planie kopii nie wykonuje. Usługodawca nie gwarantuje odtworzenia danych usuniętych przez samego Korepetytora ani odtworzenia stanu z określonej godziny. 4. Odpowiedzialność Usługodawcy wobec Korepetytora **niebędącego konsumentem** ogranicza się do szkody rzeczywistej i do wysokości opłat wniesionych przez niego w ciągu 12 miesięcy poprzedzających zdarzenie. Ograniczenie **nie dotyczy** szkody wyrządzonej umyślnie ani przypadków, w których przepis bezwzględnie obowiązujący nie pozwala ograniczyć odpowiedzialności. 5. Wobec Konsumenta i Przedsiębiorcy na prawach konsumenta odpowiedzialność Usługodawcy określają przepisy — żadne postanowienie tego Regulaminu nie ogranicza jej w zakresie, w jakim ograniczyć jej nie wolno. 6. Usługodawca **nie odpowiada** za treść zajęć, treść zadań, poprawność ocen ani za skutki decyzji podjętych przez Korepetytora na podstawie propozycji Modelu (§17 ust. 5). ## §15. Reklamacje *(art. 8 ust. 3 pkt 4 uśude)* 1. Reklamację składa się e-mailem na `[E-MAIL KONTAKTOWY]`. 2. Reklamacja powinna zawierać: adres e-mail konta, opis tego, co nie działa albo co zostało źle rozliczone, datę zdarzenia i oczekiwany sposób załatwienia sprawy. Zrzut ekranu bardzo pomaga, ale nie jest wymagany. 3. Usługodawca rozpatruje reklamację i odpowiada **w terminie 14 dni** od jej otrzymania, na adres e-mail, z którego ją wysłano. Brak odpowiedzi w tym terminie wobec Konsumenta oznacza uznanie reklamacji. 4. Jeżeli usługa cyfrowa jest niezgodna z umową, Konsumentowi przysługują uprawnienia z rozdziału 5b ustawy o prawach konsumenta — w pierwszej kolejności doprowadzenie usługi do zgodności z umową, a gdy to niemożliwe albo nadmiernie uciążliwe — obniżenie ceny albo odstąpienie od umowy. ## §16. Pozasądowe sposoby rozwiązywania sporów 1. Konsument może skorzystać z pozasądowych sposobów rozpatrywania reklamacji i dochodzenia roszczeń, w szczególności: - zwrócić się do **stałego polubownego sądu konsumenckiego** przy wojewódzkim inspektoracie Inspekcji Handlowej; - wystąpić do **wojewódzkiego inspektora Inspekcji Handlowej** o wszczęcie postępowania mediacyjnego; - skorzystać z bezpłatnej pomocy **powiatowego (miejskiego) rzecznika konsumentów** albo organizacji konsumenckiej. 2. Informacje o tych trybach są dostępne na stronach [uokik.gov.pl](https://uokik.gov.pl) oraz u rzeczników konsumentów. 3. Skorzystanie z tych trybów jest dobrowolne i wymaga zgody obu stron. --- # Część II. Sztuczna inteligencja ## §17. Model w Aplikacji — co robi i kto decyduje 1. Aplikacja korzysta z modelu językowego dostawcy zewnętrznego (**Google Cloud, usługa Vertex AI**, modele Gemini) do czterech rzeczy: wstępnego sprawdzenia pracy ucznia, propozycji zadań domowych, redakcji opisu przebiegu zajęć i redakcji raportu dla rodzica. Nigdzie indziej Model nie jest wywoływany. **Model nigdy nie wywołuje się sam** — uruchamia go czynność Korepetytora albo oddanie pracy przez ucznia; samo przechowywanie danych w Aplikacji nie przekazuje niczego do Modelu. Aplikacja korzysta z modeli w wersji stabilnej; wersji podglądowych (Pre-GA), do których dostawca nie stosuje swoich warunków przetwarzania danych, nie wybiera. 2. **Ocenę wystawia człowiek.** Wynik zaproponowany przez Model ma status wstępny i **nie staje się oceną**, dopóki Korepetytor go nie zatwierdzi. Zatwierdzenie jest osobną czynnością, a nie stanem domyślnym. Korepetytor może zmienić punktację każdego zadania i treść komentarza. Ocena końcowa i zapis zatwierdzenia — kto zatwierdził, kiedy i czy poprawił propozycję Modelu — powstają **jednym zapisem w bazie**, więc oceny bez decyzji człowieka w tym systemie nie ma z powodu jego budowy, a nie z powodu niniejszego zapisu. Do chwili zatwierdzenia propozycja nie trafia do statystyk, serii ani raportu dla rodzica; uczeń widzi ją z wyraźnym oznaczeniem „wstępnie". 3. Z tego powodu w Aplikacji **nie zachodzi zautomatyzowane podejmowanie decyzji** w rozumieniu art. 22 RODO. Korepetytor zobowiązuje się nie obchodzić tej zasady — w szczególności nie zatwierdzać wyników masowo, bez przeczytania. Aplikacja nie ma i nie będzie miała trybu „zatwierdź wszystko". 4. **Treści pochodzące z generacji Modelu oznaczamy** jako wygenerowane z pomocą sztucznej inteligencji — widocznie dla ucznia i rodzica oraz w sposób odczytywalny maszynowo (art. 50 AI Act). Oznaczenie ma trzy stany, wszystkie prawdziwe: *„wygenerowano z pomocą AI · jeszcze niezatwierdzone przez korepetytora"*, *„wygenerowano z pomocą AI · zatwierdzone przez korepetytora"* oraz — tam, gdzie Aplikacja nie zapisała szczegółów technicznych — *„wygenerowano z pomocą AI"* bez nich. Tam, gdzie Modelu nie było — zadanie wybrane z banku, notatka napisana ręką Korepetytora — oznaczenia nie ma, i jest to stwierdzenie, a nie przeoczenie. Zadania utworzone przed wprowadzeniem zapisu pochodzenia noszą stan „pochodzenie nieznane". 5. **Model bywa w błędzie.** Potrafi źle odczytać pismo odręczne, przeoczyć błąd rachunkowy w poprawnie wyglądającym rozwiązaniu, ukarać za inną poprawną metodę, zmyślić komentarz do zadania, którego nie ma na zdjęciu, i ocenić tę samą pracę dwa razy różnie. Sprawdzenie propozycji jest obowiązkiem Korepetytora, a nie uprzejmością — to on odpowiada wobec ucznia i rodzica za wystawioną ocenę. Instrukcję, co Model umie i gdzie się myli, Usługodawca udostępnia pod adresem `/pomoc/ai` (art. 4 AI Act). Sam dostawca Modelu zastrzega w swoich warunkach, że jego usługi generatywne mogą dawać wyniki nieprawidłowe i nie są przeznaczone do spełniania czyichkolwiek obowiązków prawnych czy regulacyjnych. 6. Aplikacja **nie rozpoznaje emocji** i nie będzie tego robić — w edukacji jest to zakazane (art. 5 AI Act). Nie profiluje uczniów, nie prognozuje ich wyników, nie ocenia zachowania ani zaangażowania — wyłącznie rozwiązanie zadania. Elementy grywalizacji („ognik", procenty) liczy zwykły algorytm, nie Model. 7. **Co trafia do Modelu:** zdjęcia pracy, treść zadań, przewidziana punktacja, notatki Korepetytora przekazane do zredagowania, język odpowiedzi. **Co nie trafia:** nie ma pola, którym trafiłyby tam imię, nazwisko, adres e-mail czy data urodzenia ucznia; nie trafia tam kartoteka ucznia, kontakt do rodzica ani historia ocen z innych prac. Korepetytor przyjmuje jednak do wiadomości, że imię może znaleźć się **w treści, którą sam przekazuje**: na zdjęciu podpisanej kartki albo we własnych notatkach z lekcji (§4 ust. 7). 8. Dostawca Modelu nie wykorzystuje przekazywanych treści do trenowania ani ulepszania swoich modeli bez naszej zgody i nie przechowuje zapytań ani wyników poza naszym kontem dłużej, niż jest to potrzebne do wygenerowania odpowiedzi — wynika to z warunków usług Google Cloud (Service Specific Terms, sekcje „Training Restriction" i „Handling of Prompts and Generated Output"), z których Aplikacja korzysta. Zapytanie do Modelu może zostać obsłużone w centrum danych poza EOG na podstawach z §33. ## §18. Obowiązki Korepetytora wobec funkcji AI 1. Przeczytać `/pomoc/ai` przed pierwszym użyciem funkcji AI — to realizacja art. 4 AI Act po stronie Usługodawcy, a po stronie Korepetytora warunek świadomego podpisu pod oceną. 2. Czytać każdą propozycję przed zatwierdzeniem — także przy dwudziestej pracy tego dnia. Najgroźniejszy błąd Modelu wygląda poprawnie. 3. Nie usuwać oznaczeń z §17 ust. 4 przy edycji tekstu i nie przedstawiać tekstu Modelu jako w całości własnego. Sprawozdanie przepisane od zera nie jest maszynowe — i wtedy oznaczenia nie ma. 4. Uprzedzić ucznia i jego rodzica, że prace oddane zdjęciem sprawdza wstępnie Model — Część V mówi o tym wprost, wystarczy ją pokazać. Kto tego nie akceptuje, nie korzysta z Aplikacji (§4 ust. 4). --- # Część III. Dane osobowe — role i umowa powierzenia ## §19. Kto jest kim 1. **Wobec danych uczniów i rodziców administratorem jest Korepetytor.** To on decyduje, kogo dodaje do gabinetu, po co i na jak długo. Usługodawca przetwarza te dane **wyłącznie na polecenie Korepetytora**, jako podmiot przetwarzający — na zasadach określonych w §20–§35, które stanowią **umowę powierzenia przetwarzania danych osobowych** w rozumieniu art. 28 ust. 3 RODO, zawieraną z chwilą złożenia Oświadczenia (§7 ust. 3). 2. **Wobec danych samego Korepetytora** — konto, adres e-mail, płatności, korespondencja — administratorem jest **Usługodawca**. Zasady opisuje Część IV. 3. **Obowiązki, które zostają po stronie Korepetytora** i których Usługodawca nie może za niego wykonać: - mieć **podstawę prawną** przetwarzania danych swoich uczniów — jest nią umowa o zajęcia zawarta z uczniem albo, gdy uczeń jest niepełnoletni, z jego rodzicem lub opiekunem (art. 6 ust. 1 lit. b RODO), a w zakresie, w jakim uczeń nie jest stroną tej umowy — prawnie uzasadniony interes Korepetytora w wykonaniu zamówionej usługi (lit. f); - **poinformować** ucznia i jego rodzica o przetwarzaniu danych (art. 13 i 14 RODO) — gotowy tekst to **Część V tego dokumentu**; wystarczy podać adres `korepeta.com/regulamin` przed zaproszeniem ucznia; - odpowiadać na żądania uczniów i rodziców dotyczące ich praw — Usługodawca pomaga technicznie (§28), ale nie odpowiada na nie w imieniu Korepetytora; - wykonać ocenę skutków dla ochrony danych (DPIA) — jest wymagana (dzieci, ocenianie, nowa technologia); wypełniony wzór dostarcza Usługodawca (§29). 4. **Usługodawca nie zbiera zgód rodziców i nie żąda od Korepetytora żadnego dokumentu.** Podstawą przetwarzania danych ucznia nie jest zgoda, lecz umowa o zajęcia i uzasadniony interes (ust. 3) — dlatego art. 8 RODO (zgoda dziecka w usługach społeczeństwa informacyjnego) nie ma tu zastosowania. Korepetytor zaprasza ucznia dopiero wtedy, gdy ma z nim albo z jego rodzicem umowę o zajęcia i przekazał im adres tego dokumentu; niepełnoletni Uczeń korzysta z Aplikacji w ramach tej umowy, a Oświadczenie z §7 składa jako potwierdzenie, że zasady zostały mu pokazane. Nic nie blokuje tej kolejności technicznie — pilnuje jej Korepetytor. 5. **Wyjątek — konto właściciela serwisu.** Usługodawca prowadzi w tej samej Aplikacji własne zajęcia jako korepetytor. Jest wtedy odrębnym administratorem swoich uczniów, a jego gabinet **nie daje** mu żadnego dostępu do gabinetów innych korepetytorów. Rozdział gabinetów jest wymuszony na poziomie zapytań do bazy i dostępu do plików i pokryty testami. ## §20. Umowa powierzenia — przedmiot, charakter i cel *(Strony: **Administrator** — Korepetytor, identyfikowany adresem e-mail konta; **Podmiot przetwarzający** — Usługodawca z §2.)* 1. Administrator powierza Podmiotowi przetwarzającemu przetwarzanie danych osobowych **uczniów Administratora oraz ich rodziców i opiekunów prawnych** w zakresie i w celu niezbędnym do świadczenia usługi opisanej w Części I. 2. **Charakter przetwarzania:** przechowywanie danych w bazie i w magazynie plików, ich wyświetlanie uprawnionym osobom, przekazywanie do usług wskazanych w Załączniku A oraz operacje wykonywane funkcjami Aplikacji (utworzenie, zmiana, usunięcie, wysyłka wiadomości i powiadomień, wstępne sprawdzenie pracy przez Model). 3. **Cel przetwarzania:** wyłącznie umożliwienie Administratorowi prowadzenia zajęć z jego uczniami przy pomocy Aplikacji. **Żadnego innego celu nie ma i nie będzie.** W szczególności Podmiot przetwarzający nie wykorzystuje powierzonych danych do własnych analiz, do budowania profili, do marketingu ani do trenowania modeli sztucznej inteligencji. ## §21. Czas trwania powierzenia Powierzenie trwa przez czas trwania umowy z Części I i wygasa wraz z nią — z zastrzeżeniem §31, który reguluje los danych po jej wygaśnięciu. ## §22. Rodzaj danych i kategorie osób | Kategoria osób | Rodzaj danych | |---|---| | **Uczniowie** | imię albo imię i pierwsza litera nazwiska; opcjonalnie data urodzenia i klasa; adres e-mail lub nick i hasło w postaci nieodwracalnego skrótu; kod PIN w postaci skrótu; język i strefa czasowa; inicjały i kolor awatara, a jeśli uczeń go ustawi — zdjęcie profilowe; **zdjęcia prac odręcznych**; treści zadań i rozwiązań, punkty, oceny, komentarze; historia terminowości i statystyki; reakcje pod pracami; przynależność do grup; numer wersji i chwila złożenia Oświadczenia; dane techniczne urządzenia (skrót tokenu, daty), adres subskrypcji powiadomień | | **Rodzice / opiekunowie prawni** | kanał kontaktu podany przez Administratora (e-mail lub telefon); **nieodwracalny skrót** adresu strony raportów; adres subskrypcji powiadomień; treść raportów przekazywanych rodzicowi | **Dane szczególnych kategorii (art. 9 RODO) nie są powierzane** i Aplikacja nie jest do nich przystosowana. Umieszczenie ich w Aplikacji stanowi naruszenie §6 po stronie Administratora. ## §23. Obowiązki Podmiotu przetwarzającego *(art. 28 ust. 3 lit. a–h RODO)* Podmiot przetwarzający zobowiązuje się: 1. przetwarzać dane **wyłącznie na udokumentowane polecenie Administratora** (§24), w tym w zakresie transferu poza EOG — chyba że obowiązek wynika z prawa Unii lub państwa członkowskiego; w takim wypadku informuje o tym Administratora przed przetwarzaniem, o ile prawo tego nie zakazuje; 2. zapewnić, aby osoby upoważnione do przetwarzania **zobowiązały się do zachowania poufności** (§25); 3. stosować **środki bezpieczeństwa** wymagane art. 32 RODO (§26); 4. przestrzegać warunków korzystania z usług **podprocesorów** (§27); 5. **pomagać Administratorowi** w wykonywaniu obowiązków wobec osób, których dane dotyczą (§28); 6. pomagać w wykonywaniu obowiązków z art. 32–36 RODO — bezpieczeństwo, zgłaszanie naruszeń, ocena skutków (§29 i §30); 7. po zakończeniu świadczenia usług **usunąć albo zwrócić** dane (§31); 8. udostępniać Administratorowi **informacje niezbędne do wykazania** spełnienia obowiązków oraz umożliwiać audyty (§32); 9. **niezwłocznie poinformować Administratora**, jeżeli jego polecenie stanowi w ocenie Podmiotu przetwarzającego naruszenie RODO albo innych przepisów o ochronie danych. ## §24. Czym jest „polecenie" Administratora 1. **Poleceniem jest korzystanie z funkcji Aplikacji.** Dodanie ucznia, wysłanie zaproszenia, wystawienie oceny, wysłanie raportu rodzicowi, uruchomienie sprawdzenia pracy przez Model — każda z tych czynności jest poleceniem przetwarzania i jest zapisywana w systemie. 2. Poleceniem jest też **wiadomość e-mail** wysłana z adresu konta na adres `[E-MAIL KONTAKTOWY]` — używa się jej tam, gdzie w Aplikacji nie ma odpowiedniego przycisku (wcześniejsze usunięcie danych, wydanie kopii danych). 3. Podmiot przetwarzający **nie sięga do treści gabinetu poza tym, co konieczne do usunięcia awarii, do rozpatrzenia zgłoszenia z §6 albo do wykonania polecenia Administratora**. Jeżeli dostęp do treści okaże się konieczny, Podmiot przetwarzający ogranicza go do niezbędnego minimum. ## §25. Poufność 1. Do danych powierzonych ma dostęp **wyłącznie właściciel serwisu** oraz — w zakresie technicznym i bez zamiaru zapoznawania się z treścią — podprocesorzy z Załącznika A. 2. **Na dzień wydania tej wersji Podmiot przetwarzający nie zatrudnia pracowników ani współpracowników.** Jeżeli to się zmieni, każda osoba dopuszczona do danych otrzyma pisemne upoważnienie i zobowiązanie do poufności, a Administrator zostanie o tym poinformowany w trybie §27 ust. 3. 3. Obowiązek poufności trwa również po rozwiązaniu umowy — bezterminowo. ## §26. Środki bezpieczeństwa (art. 32 RODO) Podmiot przetwarzający stosuje w szczególności: | Środek | Jak to działa | |---|---| | **Szyfrowanie w tranzycie** | cała komunikacja przez HTTPS/TLS | | **Szyfrowanie w spoczynku** | dysk bazy danych i magazyn plików szyfrowane przez dostawcę infrastruktury (oświadczenie dostawcy) | | **Hasła** | przechowywane wyłącznie jako nieodwracalny skrót; Podmiot przetwarzający nie zna haseł użytkowników | | **Prywatny magazyn plików** | zdjęcia prac nie mają publicznych adresów; do wyświetlenia generowany jest odnośnik ważny **1 godzinę**, wydawany dopiero po sprawdzeniu, czy pytający ma prawo do **tego konkretnego pliku** | | **Rozdział gabinetów** | każde zapytanie o dane jest zawężone do gabinetu zalogowanego korepetytora; uczeń widzi wyłącznie własne dane i to, co korepetytor załączył do jego zadania | | **Ograniczony dostęp do infrastruktury** | dostęp do panelu bazy danych i magazynu plików ma wyłącznie jedna osoba — właściciel serwisu | | **Sekrety poza kodem** | klucze dostępowe trzymane w zmiennych środowiskowych dostawcy hostingu, nie w repozytorium | | **Minimalizacja przy AI** | Aplikacja nie przekazuje Modelowi danych identyfikujących ucznia — nie ma pola, którym trafiłyby tam imię, nazwisko, e-mail czy data urodzenia; nie trafia tam kartoteka ucznia ani historia ocen. **Ograniczenie tego środka:** imię może znaleźć się na zdjęciu pracy albo w notatkach korepetytora (§4 ust. 7) | | **Usuwanie metadanych zdjęć** | z plików **JPEG, PNG, WebP i HEIC/HEIF** metadane (m.in. współrzędne GPS, data zdjęcia, producent i model aparatu, ukryta miniatura) są usuwane **w przeglądarce, przed wysłaniem** — na serwer nie trafiają wcale. Zastrzeżenie: plik, którego struktury nie udało się rozpoznać, przechodzi bez zmian, zamiast zostać odrzucony | | **Kopie zapasowe** | wykonywane przez Podmiot przetwarzający **własnym narzędziem, ręcznie, według wewnętrznej procedury**, przechowywane poza infrastrukturą dostawcy bazy; dostawca bazy w bieżącym planie kopii nie wykonuje. Odtworzenie z kopii nie było jeszcze przećwiczone | | **Brak cudzych skryptów** | przeglądarka nie ładuje żadnych skryptów spoza serwisu — zabrania tego polityka bezpieczeństwa treści (`script-src 'self'`), której pilnuje test; jedyne adresy zewnętrzne, o które przeglądarka prosi, to własny magazyn plików i Giphy | | **Testy automatyczne reguł dostępu** | reguły „kto do czego ma prawo" są pokryte testami uruchamianymi przed każdym wdrożeniem | **Czego nie ma — powiedziane wprost, żeby nikt się nie pomylił:** nie ma całodobowego monitoringu bezpieczeństwa, nie ma zewnętrznego audytu bezpieczeństwa, nie ma certyfikatu ISO 27001 ani innego, nie ma umowy ubezpieczenia od naruszeń, nie ma automatycznych kopii zapasowych u dostawcy. Serwis prowadzi jedna osoba. Administrator, składając Oświadczenie, wie o tym i uwzględnia to w swojej ocenie ryzyka. ## §27. Podprocesorzy (dalsze powierzenie) 1. Administrator udziela Podmiotowi przetwarzającemu **ogólnej zgody** na korzystanie z podprocesorów wymienionych w **Załączniku A**. 2. Podmiot przetwarzający zawiera z każdym podprocesorem umowę nakładającą na niego **te same obowiązki ochrony danych**, i **odpowiada wobec Administratora za działania podprocesora jak za własne**. 3. **O zamiarze dodania lub zmiany podprocesora** Podmiot przetwarzający informuje e-mailem i w Aplikacji **z wyprzedzeniem 30 dni**, wskazując nazwę, zakres i miejsce przetwarzania. Zmiana Załącznika A jest zmianą Regulaminu w trybie §50, z tym że termin wynosi 30 dni. 4. **Prawo sprzeciwu.** W terminie 30 dni od zawiadomienia Administrator może zgłosić uzasadniony sprzeciw. Jeżeli zmiany nie da się uniknąć bez rezygnacji z funkcji usługi, Administratorowi przysługuje **wypowiedzenie umowy ze skutkiem natychmiastowym i zwrot opłaty za niewykorzystany okres**. Skorzystanie ze sprzeciwu nie wiąże się z żadną opłatą ani sankcją. 5. **Wyjątek na wypadek pilnego zagrożenia:** zmiana podprocesora bez zachowania 30 dni jest dopuszczalna wyłącznie, gdy dotychczasowy przestał działać albo dalsze korzystanie z niego zagraża bezpieczeństwu danych. Zawiadomienie następuje wtedy niezwłocznie, a prawo sprzeciwu i wypowiedzenia pozostaje bez zmian. ## §28. Pomoc w realizacji praw osób, których dane dotyczą 1. Żądania uczniów i rodziców (dostęp, sprostowanie, usunięcie, ograniczenie, przeniesienie, sprzeciw) rozpatruje **Administrator** — to on jest ich partnerem, a nie Podmiot przetwarzający. 2. Podmiot przetwarzający **pomaga technicznie**: udostępnia funkcje Aplikacji pozwalające dane odczytać, poprawić i usunąć, a gdy funkcji brakuje — wykonuje operację na polecenie z §24 ust. 2 **niezwłocznie, najpóźniej w ciągu 7 dni**. Kopię danych ucznia wydaje w pliku nadającym się do odczytu maszynowego (JSON), przygotowywanym na żądanie. 3. **Żądanie usunięcia zdjęć prac** (art. 17 RODO) wykonuje się przez usunięcie konta ucznia z całą zawartością (§4 ust. 5). Administrator uprzedza o tym osobę żądającą **przed** usunięciem — tak, żeby wiedziała, że zniknie nie tylko zdjęcie, lecz także zadania, oceny i raporty. 4. Jeżeli żądanie trafi bezpośrednio do Podmiotu przetwarzającego, **nie odpowiada on na nie merytorycznie**, tylko niezwłocznie przekazuje je Administratorowi i informuje o tym osobę żądającą. 5. Pomoc w zakresie zwykłych żądań jest **bezpłatna**. ## §29. Pomoc w ocenie skutków i konsultacjach Podmiot przetwarzający udostępnia Administratorowi **wypełniony wzór oceny skutków dla ochrony danych (DPIA)** wraz z opisem systemu, przepływów danych i zastosowanych zabezpieczeń — w zakresie, w jakim tylko on może je znać. Uzupełnienie o dane własnej praktyki i podpisanie oceny należy do Administratora. Na uzasadnione pytania związane z oceną skutków albo z uprzednimi konsultacjami z organem nadzorczym Podmiot przetwarzający odpowiada w ciągu 14 dni. ## §30. Naruszenia ochrony danych 1. O stwierdzonym naruszeniu ochrony danych osobowych dotyczącym powierzonych danych Podmiot przetwarzający zawiadamia Administratora **bez zbędnej zwłoki, nie później niż w ciągu 24 godzin** od stwierdzenia naruszenia — e-mailem na adres konta. 2. Zawiadomienie zawiera: charakter naruszenia, przybliżoną liczbę i kategorie osób oraz rekordów, prawdopodobne konsekwencje, podjęte i proponowane środki zaradcze, a także dane kontaktowe do dalszych ustaleń. Jeżeli wszystkich informacji nie da się podać naraz, są uzupełniane sukcesywnie. 3. **Zgłoszenia do Prezesa UODO w ciągu 72 godzin dokonuje Administrator** — to jego obowiązek z art. 33 RODO. Podmiot przetwarzający dostarcza mu wszystkiego, co do zgłoszenia potrzebne, i **nie zgłasza naruszenia w jego imieniu**, chyba że Administrator wyraźnie o to poprosi na piśmie. 4. Wewnętrzna procedura Podmiotu przetwarzającego na wypadek naruszenia jest opisana w dokumencie *breach-runbook* i udostępniana Administratorowi na żądanie. ## §31. Los danych po zakończeniu umowy 1. Po rozwiązaniu umowy dane gabinetu są przechowywane jeszcze **90 dni**, po czym **trwale usuwane** — z bazy i z magazynu plików (§13 ust. 5). 2. W tym okresie Administrator może zażądać: - **wydania danych** w postaci pliku nadającego się do odczytu maszynowego (JSON) — wydanie następuje w ciągu 14 dni, bezpłatnie; - **wcześniejszego usunięcia** — następuje niezwłocznie, najpóźniej w ciągu 7 dni. 3. Wybór między usunięciem a zwrotem należy do Administratora. Brak decyzji w ciągu 90 dni oznacza usunięcie. 4. Po usunięciu pozostają wyłącznie dane, których przechowywania wymagają przepisy prawa (dowody zapłaty za usługę — dane Administratora, nie jego uczniów), oraz kopie zapasowe, które są nadpisywane w cyklu procedury z §26. Kopie zapasowe nie są używane do niczego poza odtworzeniem po awarii. ## §32. Prawo do informacji i audytu 1. Na pisemne żądanie Administratora Podmiot przetwarzający udostępnia informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO — w ciągu **14 dni**, bezpłatnie, nie częściej niż **raz na 12 miesięcy** (chyba że powodem żądania jest naruszenie ochrony danych — wtedy bez tego ograniczenia). 2. Audyt odbywa się w formie **kwestionariusza i przekazania dokumentacji**. Audyt na miejscu jest możliwy po uzgodnieniu terminu z wyprzedzeniem 30 dni, w godzinach pracy, przy zachowaniu poufności, na koszt Administratora — i nie może zakłócać bezpieczeństwa danych innych administratorów. 3. Podmiot przetwarzający **nie udostępnia w toku audytu danych innych korepetytorów** ani niczego, co pozwoliłoby ich zidentyfikować. ## §33. Przekazywanie danych poza EOG 1. Dane są przechowywane w Unii Europejskiej (baza i pliki — Frankfurt). 2. Przekazanie poza EOG następuje wyłącznie w przypadkach wskazanych w Załączniku A, na podstawie standardowych klauzul umownych albo decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU-US Data Privacy Framework). Jednym z tych przypadków jest wykonywanie funkcji serwerowych Aplikacji w Stanach Zjednoczonych (§4 ust. 14). 3. Administrator przyjmuje do wiadomości, że **skorzystanie z funkcji sztucznej inteligencji** wiąże się z przetwarzaniem treści pracy przez dostawcę Modelu, na powyższych podstawach. Wywołanie Modelu następuje **wyłącznie wtedy, gdy Administrator albo jego uczeń uruchomi funkcję** — samo przechowywanie danych w Aplikacji nie powoduje przekazania czegokolwiek do Modelu. ## §34. Odpowiedzialność stron umowy powierzenia 1. Każda ze stron odpowiada za własne naruszenia RODO na zasadach art. 82 RODO. 2. Administrator odpowiada w szczególności za: podstawę prawną przetwarzania danych swoich uczniów (umowę o zajęcia z uczniem albo jego rodzicem), poinformowanie ucznia i rodzica (Część V) **przed** zaproszeniem ucznia do Aplikacji, zakres danych, które sam wprowadza, oraz za rzetelne sprawdzenie propozycji oceny przygotowanej przez Model. 3. Podmiot przetwarzający odpowiada za bezpieczeństwo powierzonych danych w zakresie środków z §26 oraz za działania podprocesorów jak za własne. 4. Ograniczenia odpowiedzialności z §14 **nie stosują się** do odpowiedzialności wobec osób, których dane dotyczą, ani do kar administracyjnych — tych ograniczyć nie można. ## §35. Pierwszeństwo W razie sprzeczności między Częścią I a Częścią III **w zakresie ochrony danych osobowych pierwszeństwo ma Część III**. W sprawach nieuregulowanych stosuje się RODO i prawo polskie. --- # Część IV. Informacja o prywatności dla Korepetytora *(art. 13 RODO — dotyczy danych Korepetytora, osoby zostawiającej zgłoszenie i osoby piszącej do nas. Dane uczniów i rodziców podlegają Części III i V: tam administratorem jest Korepetytor.)* ## §36. W skrócie 1. **Ta część dotyczy Twoich danych jako korepetytora** — konta, płatności, korespondencji, zgłoszenia do bety. 2. **Nie ma reklam, nie ma trackerów, nie sprzedajemy danych.** Nie korzystamy z Google Analytics ani żadnego innego narzędzia analitycznego. 3. **Nie ma banera cookies**, bo nie ma czego w nim zgadzać: używamy wyłącznie ciasteczek niezbędnych do utrzymania zalogowania. 4. **Dane spoczywają w Unii Europejskiej** — baza i pliki we Frankfurcie. Przypadki, w których dane wychodzą poza EOG, są wymienione w §40 co do jednego. 5. **Numeru Twojej karty nigdy nie widzimy** — płatność, gdy zostanie uruchomiona, odbywa się na stronie operatora. Administratorem jest Usługodawca z §2. Administrator **nie powołał** inspektora ochrony danych — nie ma takiego obowiązku. Wszystkie sprawy dotyczące danych załatwia się pod adresem `[E-MAIL KONTAKTOWY]`; odpowiedź przychodzi na adres, z którego napisano. **Jesteś rodzicem albo uczniem i szukasz, kto odpowiada za Twoje dane?** To korepetytor, który prowadzi zajęcia — Część V mówi, co i po co się dzieje z danymi ucznia. Jeżeli nie wiesz, do kogo napisać, napisz do nas: wskażemy właściwego administratora, ale nie możemy odpowiedzieć za niego. ## §37. Jakie dane, po co i na jakiej podstawie **Konto korepetytora** | Dane | Cel | Podstawa prawna | |---|---|---| | imię i nazwisko lub nazwa, adres e-mail, hasło w postaci nieodwracalnego skrótu | założenie i prowadzenie konta, logowanie | art. 6 ust. 1 lit. b RODO — wykonanie umowy | | język, strefa czasowa, waluta | ustawienia interfejsu | art. 6 ust. 1 lit. b | | numer zaakceptowanej wersji Regulaminu i chwila złożenia Oświadczenia | wykazanie, na co i kiedy się zgodziłeś | art. 6 ust. 1 lit. c i lit. f — rozliczalność | | data ostatniego logowania; dane powiązanego urządzenia: skrót tokenu, data ważności, data ostatniego użycia | bezpieczeństwo konta, utrzymanie zalogowania na własnym urządzeniu | art. 6 ust. 1 lit. f — uzasadniony interes: ochrona kont i danych uczniów | | treść korespondencji z nami | obsługa zgłoszeń i reklamacji | art. 6 ust. 1 lit. b oraz lit. c (art. 8 ust. 3 pkt 4 uśude) | **Płatności i subskrypcja** *(od dnia uruchomienia płatności)* | Dane | Cel | Podstawa prawna | |---|---|---| | identyfikator klienta i subskrypcji u operatora płatności, plan, status, data odnowienia, historia zdarzeń płatniczych | prowadzenie subskrypcji, dostęp do funkcji | art. 6 ust. 1 lit. b | | kwota, data i potwierdzenie zapłaty | rozliczenie podatkowe | art. 6 ust. 1 lit. c — obowiązek prawny | **Numeru karty, kodu CVC ani danych BLIK nie otrzymujemy i nie przechowujemy** — formularz płatności należy do operatora i jest wyświetlany na jego stronie. **Zużycie funkcji AI** | Dane | Cel | Podstawa prawna | |---|---|---| | zapis każdego wywołania Modelu: data, rodzaj czynności, model, koszt jednostkowy, wynik | rozliczenie limitu, kontrola kosztów, wykrywanie nadużyć, dowód nadzoru człowieka nad oceną | art. 6 ust. 1 lit. b oraz lit. f | | zapis zatwierdzenia oceny: kto zatwierdził, co zmienił, kiedy | wykazanie, że ocenę wystawia człowiek (§17) | art. 6 ust. 1 lit. b i lit. c | **Zgłoszenie do bety (formularz na stronie)** | Dane | Cel | Podstawa prawna | |---|---|---| | imię, adres e-mail, opcjonalnie miasto, przybliżona liczba uczniów, treść wiadomości, język strony, wersja zgody | odpowiedź na zgłoszenie i kontakt w sprawie dostępu | art. 6 ust. 1 lit. b — czynności przed zawarciem umowy, na żądanie osoby | | **skrót** adresu IP (nie sam adres) | ograniczenie zgłoszeń automatycznych | art. 6 ust. 1 lit. f | Formularz nie pyta o telefon ani adres — celowo. Skrót adresu IP powstaje z udziałem tajnego klucza serwera; bez tego klucza zapis w ogóle nie powstaje. **Powiadomienia w przeglądarce.** Jeżeli włączysz powiadomienia, przechowujemy techniczny adres subskrypcji push wydany przez Twoją przeglądarkę (bez konta, bez hasła). Podstawa — art. 6 ust. 1 lit. a RODO (zgoda wyrażona kliknięciem w oknie przeglądarki); wycofać ją można w ustawieniach przeglądarki albo Aplikacji. ## §38. Komu przekazujemy dane Korzystamy z usług dostawców, którzy przetwarzają dane **wyłącznie na nasze polecenie**, na podstawie umów powierzenia — pełny wykaz z rolą, miejscem i podstawą transferu to **Załącznik A**. Poza tym dane mogą zostać udostępnione **organom państwowym**, jeżeli zażądają ich na podstawie przepisów prawa. Nie sprzedajemy danych, nie udostępniamy ich reklamodawcom i nie przekazujemy brokerom danych. ## §39. Zautomatyzowane decyzje i profilowanie **Nie podejmujemy wobec Ciebie zautomatyzowanych decyzji** wywołujących skutki prawne ani podobnie istotnych (art. 22 RODO) i **nie profilujemy** Cię. Model w Aplikacji **proponuje**, a decyduje człowiek — §17. ## §40. Przekazywanie danych poza EOG Baza danych i pliki spoczywają w **Unii Europejskiej (Frankfurt)**. Dane wychodzą poza EOG w czterech przypadkach, wszystkie w Załączniku A: **wykonywanie funkcji serwerowych Aplikacji** (Vercel — centrum danych w Stanach Zjednoczonych, przez które przechodzi każde żądanie; dane w pamięci, nietrwale), zapytanie do Modelu (Google), obsługa płatności (Stripe — od uruchomienia płatności) i pobranie pliku animacji przez przeglądarkę (Giphy). Podstawy: standardowe klauzule umowne oraz decyzja Komisji Europejskiej o odpowiednim stopniu ochrony (EU-US Data Privacy Framework). Kopię zabezpieczeń albo informację o miejscu ich udostępnienia można otrzymać, pisząc na `[E-MAIL KONTAKTOWY]`. ## §41. Jak długo przechowujemy dane | Dane | Okres | |---|---| | konto korepetytora i zawartość gabinetu | przez czas trwania umowy, a po jej zakończeniu **90 dni**, po czym trwałe usunięcie (§13) | | numer zaakceptowanej wersji Regulaminu | tak długo jak konto, a po jego usunięciu — do upływu przedawnienia roszczeń | | dane rozliczeniowe i dowody zapłaty | przez okres wymagany przepisami podatkowymi | | data ostatniego logowania i dane powiązanego urządzenia | do wygaśnięcia powiązania (**90 dni**) albo do jego unieważnienia | | zapisy wywołań Modelu i zatwierdzeń oceny | do **12 miesięcy**, a w zakresie potrzebnym do wykazania nadzoru człowieka nad oceną — nie krócej, niż wymagają tego przepisy o sztucznej inteligencji | | techniczne dzienniki dostawców (hosting, uwierzytelnianie), w których pojawia się adres IP i identyfikator przeglądarki | zgodnie z zasadami tych dostawców; **własnego rejestru logowań z adresami IP nie prowadzimy** | | zgłoszenia z formularza | do **12 miesięcy** od zgłoszenia, chyba że doszło do zawarcia umowy | | korespondencja e-mail | do **12 miesięcy** od zakończenia sprawy | | adres subskrypcji powiadomień | do wycofania zgody albo do trwałego błędu dostarczenia | **Czym te terminy są zapewnione.** Dziś **procedurą, a nie zadaniem cyklicznym** (§4 ust. 6). Podane okresy są zobowiązaniem, którego pilnuje człowiek. Usunięcie danych na żądanie następuje **niezwłocznie, najpóźniej w ciągu 7 dni** — z wyjątkiem tego, co musimy zachować z powodu przepisów podatkowych. ## §42. Twoje prawa Masz prawo do: **dostępu** do swoich danych i otrzymania ich kopii (art. 15 RODO); **sprostowania** (art. 16); **usunięcia** (art. 17) — w zakresie, w jakim nie musimy ich zachować z powodu przepisów; **ograniczenia przetwarzania** (art. 18); **przenoszenia danych** (art. 20) — zawartość gabinetu wydajemy w pliku JSON, przygotowanym na żądanie; **sprzeciwu** wobec przetwarzania opartego na uzasadnionym interesie (art. 21); **wycofania zgody** w każdej chwili, tam gdzie przetwarzamy na jej podstawie — bez wpływu na zgodność z prawem tego, co było przed wycofaniem. Żądanie wystarczy wysłać na `[E-MAIL KONTAKTOWY]`. Odpowiadamy **bez zbędnej zwłoki, najpóźniej w ciągu miesiąca**. **Skarga.** Jeżeli uważasz, że przetwarzamy dane niezgodnie z prawem, możesz złożyć skargę do **Prezesa Urzędu Ochrony Danych Osobowych**, ul. Stawki 2, 00-193 Warszawa, [uodo.gov.pl](https://uodo.gov.pl). ## §43. Bezpieczeństwo Środki są te same, które opisuje §26 — dane Korepetytora leżą w tej samej bazie, za tym samym szyfrowaniem i tymi samymi regułami dostępu, co dane jego uczniów. W razie naruszenia ochrony danych działamy zgodnie z wewnętrzną procedurą *breach-runbook*: zgłoszenie do Prezesa UODO w ciągu 72 godzin, a przy wysokim ryzyku — zawiadomienie osób, których dane dotyczą. ## §44. Ciasteczka i podobne technologie Używamy **wyłącznie ciasteczek niezbędnych** do działania serwisu: | Ciasteczko | Do czego | Jak długo | |---|---|---| | ciasteczka sesji zalogowania *(wystawiane przez dostawcę uwierzytelniania)* | utrzymanie zalogowania i ochrona przed przejęciem sesji | do wylogowania albo wygaśnięcia sesji | | `korepeta_device` *(httpOnly)* | powiązanie urządzenia ucznia z jego kontem, żeby nie logował się od nowa każdego dnia; w ciasteczku jest losowy token, w bazie tylko jego nieodwracalny skrót | **90 dni** albo do unieważnienia | **Nie ma** ciasteczek analitycznych, marketingowych, reklamowych ani pikseli śledzących. Nie ładujemy skryptów firm trzecich. Dlatego serwis **nie wyświetla banera zgody na ciasteczka** — na ciasteczka niezbędne do świadczenia usługi żądanej przez użytkownika zgoda nie jest wymagana (art. 399 ustawy — Prawo komunikacji elektronicznej). Aplikacja korzysta też z pamięci lokalnej przeglądarki, żeby zapamiętać wybrany język oraz niedokończone wersje robocze. Te dane **nie opuszczają Twojego urządzenia** — kasuje je wyczyszczenie danych przeglądarki. ## §45. Osoby niepełnoletnie Konto zakłada osoba, która oświadcza, że ma ukończone 18 lat (§7); Usługodawca nie weryfikuje wieku inaczej. Za ucznia niepełnoletniego, którego zaprasza do gabinetu, odpowiada Korepetytor jako administrator jego danych: to on ma umowę o zajęcia z jego rodzicem lub opiekunem i to on ich informuje (Część V). Usługodawca zgód rodziców nie zbiera (§19 ust. 4). ## §46. Zmiany tej części Część IV zmienia się razem z całym Regulaminem, w trybie §50. Każda wersja ma numer i datę; wersje wcześniejsze udostępniamy na żądanie, żeby dało się sprawdzić, co obowiązywało kiedyś. --- # Część V. Informacja o przetwarzaniu danych Ucznia *(art. 13 i 14 RODO. Tę część Korepetytor — jako administrator danych ucznia — przekazuje uczniowi i jego rodzicowi przed zaproszeniem do Aplikacji; wystarczy podać adres `korepeta.com/regulamin`. Uczeń potwierdza jej przeczytanie Oświadczeniem z §7.)* ## §47. Kto odpowiada za Twoje dane i po co je przetwarza 1. **Administratorem Twoich danych jest Twój Korepetytor** — osoba, od której dostałeś zaproszenie. To on decyduje, że jesteś w Aplikacji, po co i na jak długo; jego dane kontaktowe znasz z zajęć, a na żądanie potwierdzi je Usługodawca (`[E-MAIL KONTAKTOWY]`). 2. **Usługodawca** (§2) dostarcza Aplikację i przechowuje Twoje dane wyłącznie na polecenie Korepetytora, jako podmiot przetwarzający (Część III). Nie decyduje o tym, kogo i po co zapisano. 3. **Po co:** prowadzenie zajęć — zadania domowe, oddawanie prac zdjęciem, sprawdzanie ich (wstępnie przez Model, ostatecznie przez Korepetytora), oceny, komentarze, statystyki i raporty dla rodzica. 4. **Na jakiej podstawie:** umowa o zajęcia, którą Ty albo — jeżeli nie masz 18 lat — Twój rodzic lub opiekun zawarł z Korepetytorem (art. 6 ust. 1 lit. b RODO), a w zakresie, w jakim nie jesteś jej stroną — prawnie uzasadniony interes Korepetytora w wykonaniu zamówionej usługi (lit. f). Powiadomienia w przeglądarce — Twoja zgoda wyrażona kliknięciem (lit. a). Zdjęcie profilowe ustawiasz sam, jeżeli chcesz; bez niego Aplikacja pokazuje kółko z inicjałami. Nikt nie prosi Cię ani Twojego rodzica o podpisanie żadnego formularza — Korepetytor ma Waszą umowę o zajęcia, a Aplikacja tylko jedno Oświadczenie przy zakładaniu konta. ## §48. Jakie dane, komu, jak długo — i co robi sztuczna inteligencja 1. **Jakie dane:** te z §22 — imię, opcjonalnie klasa i data urodzenia, dane konta (hasło i PIN wyłącznie jako skrót), **zdjęcia Twoich prac**, zadania, punkty, oceny, komentarze, statystyki, reakcje, grupy; kontakt do rodzica i skrót linku do jego strony raportów. **Nie zbieramy:** numeru PESEL, adresu zamieszkania, danych o zdrowiu ani żadnych danych szczególnych kategorii. 2. **Zdjęcia prac** leżą w prywatnym magazynie w Unii Europejskiej, bez publicznych adresów; do wyświetlenia generowany jest odnośnik ważny godzinę, tylko dla osoby uprawnionej. Metadane zdjęcia (w tym współrzędne GPS) są usuwane w Twojej przeglądarce przed wysłaniem; plik, którego struktury nie udało się rozpoznać, przechodzi bez zmian (§4 ust. 9). **Rodzic nie widzi Twoich zdjęć** w swoim raporcie — dostaje opis postępów i statystyki. 3. **Sztuczna inteligencja.** Praca oddana zdjęciem jest sprawdzana wstępnie przez Model dostawcy zewnętrznego (§17): do Modelu trafia zdjęcie pracy, treść zadań i punktacja — nie trafia Twoja kartoteka, kontakt ani historia ocen; imię może trafić, jeżeli podpisałeś kartkę. **Ocenę zawsze wystawia Korepetytor** — wynik Modelu jest propozycją, którą widzisz z oznaczeniem „wstępnie". Nie ma zautomatyzowanych decyzji (art. 22 RODO). Dostawca Modelu nie uczy na Twoich pracach swoich modeli (§17 ust. 8). Wyłącznika AI dla jednego ucznia nie ma (§4 ust. 4). 4. **Komu:** podprocesorom z Załącznika A — bazie i magazynowi plików (Frankfurt), hostingowi (funkcje serwerowe w USA), dostawcy Modelu, dostawcy przeglądarki (powiadomienia), Giphy (jeżeli otworzysz zakładkę z animacjami — Giphy widzi wtedy adres IP Twojego urządzenia). Poza tym — nikomu, chyba że zażąda tego organ państwowy na podstawie prawa. 5. **Jak długo:** do zakończenia współpracy z Korepetytorem, a wcześniej — na żądanie. Usunięcie Cię z Aplikacji kasuje zdjęcia z magazynu naprawdę, razem z zadaniami, ocenami i raportami (§4 ust. 5). Terminów pilnuje człowiek, nie automat (§4 ust. 6). 6. **Jeżeli nie masz 18 lat:** korzystasz z Aplikacji w ramach zajęć, które zamówił dla Ciebie rodzic lub opiekun; jego umowa z Korepetytorem jest podstawą przetwarzania Twoich danych, a on sam może w Twoim imieniu wykonywać prawa z §49. Oświadczenie, które składasz przy zakładaniu konta, potwierdza, że te zasady zostały Ci pokazane. ## §49. Twoje prawa i do kogo z nimi iść 1. Masz prawo do dostępu do danych i ich kopii (art. 15 RODO), sprostowania (art. 16), usunięcia (art. 17), ograniczenia przetwarzania (art. 18), przenoszenia (art. 20) i sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 21). Tam, gdzie podstawą jest zgoda (powiadomienia), możesz ją wycofać w każdej chwili. 2. **Z żądaniem idziesz do Korepetytora** — on odpowiada w ciągu miesiąca. Usługodawca pomaga mu technicznie (§28); jeżeli napiszesz bezpośrednio do Usługodawcy, przekaże on żądanie Korepetytorowi i powiadomi Cię o tym. Żądanie usunięcia zdjęć prac wykonuje się przez usunięcie całego konta ucznia — Korepetytor uprzedzi o tym, zanim usunie (§28 ust. 3). 3. **Skarga:** Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, [uodo.gov.pl](https://uodo.gov.pl). --- # Część VI. Postanowienia końcowe ## §50. Zmiany Regulaminu 1. Usługodawca może zmienić Regulamin z ważnej przyczyny: zmiany przepisów, zmiany zakresu albo sposobu świadczenia usługi, zmiany cen, zmiany podprocesorów, względów bezpieczeństwa, a także gdy zmienia się granica opisana w §4. 2. O zmianie Usługodawca informuje **e-mailem i w Aplikacji na co najmniej 14 dni** przed jej wejściem w życie, a przy zmianie cen albo podprocesorów — **na 30 dni**. Wiadomość zawiera nową wersję dokumentu i wskazuje, co się zmieniło. 3. Korepetytor, który nie zgadza się na zmianę, może wypowiedzieć umowę do dnia wejścia zmiany w życie — **bez żadnych kosztów**, ze zwrotem opłaty za niewykorzystany okres. 4. Dalsze korzystanie z Aplikacji po wejściu zmiany w życie wymaga złożenia Oświadczenia o akceptacji nowej wersji (§7 ust. 2); Aplikacja zapisuje nowy numer wersji przy koncie. ## §51. Prawo właściwe, spory, wersje 1. Prawem właściwym jest prawo polskie. Nie pozbawia to Konsumenta ochrony wynikającej z bezwzględnie obowiązujących przepisów państwa jego miejsca zwykłego pobytu. 2. Spory z Korepetytorem **niebędącym** konsumentem rozstrzyga sąd właściwy dla siedziby Usługodawcy. Spory z Konsumentem — sąd właściwy według przepisów ogólnych. 3. Jeżeli którekolwiek postanowienie Regulaminu okaże się nieważne, pozostałe pozostają w mocy. 4. **Każda wersja Regulaminu ma numer i datę** (nagłówek dokumentu). Tekst wersji, wobec której złożono Oświadczenie, Usługodawca przechowuje i udostępnia na żądanie także po jej zmianie — bez tego nie da się odtworzyć, na co ktoś się zgodził. 5. Dokument w języku polskim jest wersją wiążącą. Przekłady, jeżeli powstaną, służą wyłącznie zrozumieniu. ## §52. Dokumenty powiązane — nie są częścią umowy | Dokument | Adres | Czym jest | |---|---|---| | **Jak działa AI w Korepecie** | `/pomoc/ai` | instrukcja dla Korepetytora (art. 4 AI Act) | | **Wzór oceny skutków (DPIA)** | dostarczany Korepetytorowi z dostępem | wzór, który Korepetytor uzupełnia i podpisuje jako administrator | | **Pierwszy dzień w Korepecie** | wydawany razem z dostępem | porządek działań dla Korepetytora | Osobnych formularzy dla rodziców nie ma: informacja dla ucznia i rodzica to Część V tego dokumentu, a jedyne oświadczenie to §7. --- # Załącznik A — Wykaz podprocesorów *Część umowy powierzenia (§27). Zmienia się w trybie §27 ust. 3 — z 30-dniowym wyprzedzeniem i prawem sprzeciwu. Stan na dzień wydania wersji 1.0.* | Podprocesor | Do czego jest potrzebny | Jakie dane widzi | Miejsce przetwarzania | Podstawa transferu poza EOG | |---|---|---|---|---| | **Vercel Inc.** *(USA)* | hosting Aplikacji i stron, wykonywanie funkcji serwerowych | wszystkie dane przechodzące przez żądania HTTP; dane w pamięci, nietrwale | **funkcje serwerowe — Stany Zjednoczone** (region `iad1`, stan na 05.09.2026, sprawdzony po nagłówku odpowiedzi serwera); sieć brzegowa (statyczne pliki, kierowanie ruchu) — globalnie | standardowe klauzule umowne + EU-US DPF | | **Supabase, Inc.** *(USA)* | baza danych, magazyn plików (zdjęcia prac, załączniki, awatary), uwierzytelnianie | wszystkie dane trwałe: uczniowie, prace, zdjęcia, konta | **Frankfurt, Unia Europejska**; infrastruktura AWS i Cloudflare | standardowe klauzule umowne (dane spoczywają w UE) | | **Google Cloud** *(dostawca usługi Vertex AI)* | Model językowy: wstępne sprawdzenie pracy, propozycja zadań, redakcja opisu zajęć i raportu — wyłącznie modele w wersji stabilnej | zdjęcia prac, treść zadań, punktacja, notatki przekazane do przetworzenia — bez kartoteki ucznia (§17 ust. 7) | centra danych Google, możliwe poza EOG | Cloud Data Processing Addendum: standardowe klauzule umowne + EU-US DPF | | **Brevo (Sendinblue SAS)** *(Francja)* | serwer pocztowy (SMTP), przez który dostawca uwierzytelniania wysyła kody potwierdzające adres e-mail; Aplikacja sama e-maili nie wysyła | adres e-mail odbiorcy i treść wiadomości systemowej | Unia Europejska (Belgia); podprocesorzy Brevo także poza EOG | standardowe klauzule umowne | | **Stripe Payments Europe, Ltd.** *(Irlandia)* — **od dnia uruchomienia płatności; dziś nie przetwarza niczego** | przyjmowanie płatności i obsługa subskrypcji | **dane Korepetytora**, nie uczniów: e-mail, dane płatnika, historia płatności | Unia Europejska i USA | standardowe klauzule umowne + EU-US DPF | | **Giphy, Inc.** *(USA)* | wyszukiwanie i wyświetlanie animacji w reakcjach pod pracami | wyszukiwane hasło — **przez nasz serwer, bez danych użytkownika**; przy wyświetleniu animacji (już w siatce wyników) Giphy widzi adres IP urządzenia i typ przeglądarki | USA | standardowe klauzule umowne | **Co z tej tabeli zapamiętać.** Trwałe dane uczniów spoczywają w Unii Europejskiej. Poza EOG dane wychodzą w czterech miejscach i tylko tam: wykonywanie funkcji serwerowych (każde żądanie, nietrwale), zapytanie do Modelu, obsługa płatności (dane Korepetytora, nie ucznia) i pobranie pliku animacji przez przeglądarkę. Do Modelu nie trafia kartoteka ucznia. Animacji można nie używać — to jedyne miejsce, w którym przeglądarka łączy się bezpośrednio z serwerem firmy trzeciej. **Podprocesorzy naszych podprocesorów.** Dostawcy z tabeli korzystają z własnych podwykonawców — na przykład Supabase z infrastruktury Amazon Web Services i Cloudflare, a Brevo z centrum danych w Belgii i z podwykonawców poza EOG. Aktualne wykazy prowadzą oni sami i publikują w swoich dokumentach ochrony danych. --- # Załącznik B — wzór oświadczenia o odstąpieniu od umowy *Wzór jest ułatwieniem. Odstąpienie w dowolnych własnych słowach jest tak samo skuteczne.* > **Adresat:** `[IMIĘ I NAZWISKO USŁUGODAWCY]`, `[ADRES DO KORESPONDENCJI]`, > `[E-MAIL KONTAKTOWY]` > > Ja, niżej podpisany/a, niniejszym odstępuję od umowy o świadczenie usługi > dostępu do aplikacji Korepeta. > > Data zawarcia umowy: ...................................... > Adres e-mail konta: ...................................... > Imię i nazwisko: ...................................... > Adres: ...................................... > Data: ...................................... > Podpis *(tylko jeżeli wysyłasz na papierze)*: ...................................... --- ## Historia wersji | Wersja | Data | Co się zmieniło | |---|---|---| | 1.0 | 2026-09-05 | jeden dokument zamiast sześciu: włączono umowę powierzenia, wykaz podprocesorów, politykę prywatności oraz — jako Część V — informację o przetwarzaniu danych ucznia; zniesiono osobne zgody rodzica (decyzja właściciela): podstawą przetwarzania danych ucznia jest umowa o zajęcia, nie zgoda; jedno Oświadczenie o wieku i akceptacji dla Korepetytora i Ucznia (§7); dodano §4 „Aplikacja taka, jaka jest" (15 granic, w tym warunki dostawcy Modelu i funkcje serwerowe w USA); usunięto PDF z formatów; kopie zapasowe opisane zgodnie z prawdą; zgłaszanie treści bezprawnych (§6); podstawa cookies — PKE; poprawione odesłania do ustawy o prawach konsumenta (art. 32a–32b). Żadna wcześniejsza wersja nie była publikowana ani podpisana | --- *Wersja 1.0 · `[DATA WEJŚCIA W ŻYCIE]` · dokument w języku polskim jest wersją wiążącą.*