Polityka prywatności

Administratorem danych osobowych przetwarzanych za pośrednictwem systemu UsterkApp jest szkoła korzystająca z aplikacji. To ona decyduje o celach i sposobach przetwarzania oraz odpowiada za realizację Twoich praw. Pełną nazwę, adres i dane kontaktowe administratora, a także dane kontaktowe inspektora ochrony danych (IOD), podaje Twoja szkoła — znajdziesz je w sekretariacie oraz na stronie internetowej placówki. Szkoły publiczne mają obowiązek wyznaczenia IOD i opublikowania jego danych kontaktowych.

Operator UsterkApp, który udostępnia i utrzymuje aplikację, występuje wobec szkoły jako podmiot przetwarzający — przetwarza dane wyłącznie na jej udokumentowane polecenie, na podstawie umowy powierzenia przetwarzania (art. 28 RODO). Nie wykorzystuje danych ze zgłoszeń do własnych celów.

• Konto użytkownika: adres e-mail, nazwa wyświetlana, hasło (przechowywane wyłącznie w postaci zaszyfrowanej)
• Zgłoszenia: opis problemu, lokalizacja, kategoria, data zgłoszenia, opcjonalne zdjęcie; imię i nazwisko autora tylko jeśli zgłoszenie nie jest anonimowe
• Anonimowość zgłoszeń — zakres: zgłoszenie wysłane z formularza publicznego przez osobę niezalogowaną nie jest powiązane z żadnym kontem i pozostaje anonimowe. Zgłoszenie wysłane przez osobę zalogowaną, nawet oznaczone jako anonimowe, pozostaje technicznie powiązane z jej kontem: imię i nazwisko nie są wyświetlane przy zgłoszeniu, ale administrator szkoły może w razie potrzeby ustalić autora, a osoby obsługujące zgłoszenia mogą rozpoznać, że kilka zgłoszeń pochodzi od tej samej osoby.
• Techniczne: pliki cookies sesji (niezbędne do zalogowania), cookie dostępu do formularza zgłoszeniowego otwartego z linku niepublicznego (niezbędny, wygasa po 15 minutach) oraz opcjonalne cookies preferencji wyglądu i dostępności (wyłącznie za Twoją zgodą)
• Dane sesji logowania: adres IP i identyfikator przeglądarki (user-agent) każdej aktywnej sesji, zapisywane przez system uwierzytelniania. Służą wyłącznie bezpieczeństwu konta — możesz je podejrzeć i zakończyć wybraną sesję w zakładce „Bezpieczeństwo" w ustawieniach konta.
• Analityka: anonimowe dane o odwiedzinach — odwiedzona strona, kraj, typ urządzenia, źródło ruchu (Vercel Analytics) oraz wskaźniki szybkości działania strony w Twojej przeglądarce, tzw. Web Vitals (Vercel Speed Insights). Dane te są zagregowane i nie pozwalają na identyfikację konkretnej osoby; żadne z tych narzędzi nie używa plików cookies do śledzenia. Uruchamiamy je dopiero po wyrażeniu przez Ciebie zgody w banerze cookies.

• Konto użytkownika: art. 6 ust. 1 lit. b RODO — niezbędność do wykonania umowy (świadczenia usługi)
• Zgłoszenia problemów: art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes administratora (zarządzanie infrastrukturą szkolną)
• Preferencje czcionki (cookie): art. 6 ust. 1 lit. a RODO — zgoda użytkownika
• Powiadomienia e-mail o zmianie statusu: art. 6 ust. 1 lit. a RODO — zgoda użytkownika. Powiadomienia są domyślnie wyłączone; włączasz je sam w ustawieniach konta i możesz wyłączyć w każdej chwili.
• Dane sesji logowania (IP, user-agent): art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes administratora (bezpieczeństwo konta i wykrywanie nieuprawnionego dostępu)
• Analityka ruchu i wydajności: art. 6 ust. 1 lit. a RODO — zgoda wyrażona w banerze cookies. Dane są anonimowe i zagregowane; nie umożliwiają identyfikacji osoby.

Czy podanie danych jest obowiązkowe? Podanie adresu e-mail i nazwy wyświetlanej jest niezbędne do założenia konta — bez nich nie możemy udostępnić Ci konta w systemie. Podanie opisu i lokalizacji usterki jest niezbędne do rozpatrzenia zgłoszenia. Podanie imienia i nazwiska przy zgłoszeniu oraz dodanie zdjęcia jest dobrowolne. Zgłoszenie usterki możesz też wysłać bez zakładania konta, jeżeli Twoja szkoła udostępniła formularz publiczny.

Wewnątrz Twojej szkoły zgłoszenie widzą wyłącznie osoby pełniące w systemie role obsługi zgłoszeń:

• konserwator — treść zgłoszenia, lokalizacja, zdjęcie i imię autora (jeśli zgłoszenie nie jest anonimowe), aby móc usunąć usterkę
• dyrektor — ten sam zakres, wraz z możliwością archiwizowania i usuwania zgłoszeń
• administrator szkoły — dodatkowo zarządzanie kontami i uprawnieniami członków; może również ustalić autora zgłoszenia oznaczonego jako anonimowe (patrz sekcja 2)

Osoby z innych szkół korzystających z UsterkApp nie mają dostępu do zgłoszeń Twojej placówki — dane każdej szkoły są od siebie odizolowane na poziomie bazy danych.

Korzystamy z następujących podmiotów przetwarzających dane w naszym imieniu:

• Supabase Inc. — hosting bazy danych i uwierzytelnianie (serwery w Unii Europejskiej)
• Vercel Inc. (USA) — hosting aplikacji internetowej oraz anonimowa analityka ruchu i wydajności (Vercel Analytics i Vercel Speed Insights). Zbierane dane obejmują wyłącznie zagregowane statystyki odwiedzin i wskaźniki szybkości działania strony, bez identyfikacji użytkownika. Polityka prywatności Vercel: vercel.com/legal/privacy-policy
• Resend Inc. (USA) — wysyłka powiadomień e-mail o zmianie statusu zgłoszenia. Przekazujemy wyłącznie adres e-mail odbiorcy oraz treść powiadomienia (nowy status zgłoszenia i lokalizacja usterki). Dotyczy to tylko osób, które same włączyły powiadomienia. Polityka prywatności Resend: resend.com/legal/privacy-policy

Dane bazy i uwierzytelniania przechowywane są na serwerach Supabase w Unii Europejskiej i nie opuszczają Europejskiego Obszaru Gospodarczego.

Vercel Inc. i Resend Inc. mają siedziby w Stanach Zjednoczonych, więc korzystanie z ich usług wiąże się z przekazaniem danych do państwa trzeciego. Przekazanie odbywa się na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO), zawartych w umowach powierzenia przetwarzania z każdym z tych podmiotów. Kopię zastosowanych zabezpieczeń możesz uzyskać, kontaktując się z administratorem danych (Twoją szkołą).

Zakres danych przekazywanych poza EOG jest ograniczony: do Resend trafia adres e-mail i treść powiadomienia, a do Vercel — zagregowane, nieidentyfikujące statystyki odwiedzin. Treść zgłoszeń i zdjęcia pozostają w Unii Europejskiej.

Przysługuje Ci prawo do:

• dostępu do swoich danych
• sprostowania nieprawidłowych danych
• usunięcia danych („prawo do bycia zapomnianym")
• ograniczenia przetwarzania
• przenoszalności danych
• wniesienia sprzeciwu wobec przetwarzania
• cofnięcia zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania, którego dokonano przed jej cofnięciem. Zgodę na cookies zmienisz przyciskiem „Ustawienia cookies" na dole strony, a zgodę na powiadomienia e-mail — przełącznikiem w ustawieniach konta.
• wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl), jeżeli uznasz, że przetwarzanie Twoich danych narusza RODO

W celu realizacji praw skontaktuj się z administratorem szkoły — szczegóły w sekcji 11. Część praw zrealizujesz samodzielnie w ustawieniach konta: pobierzesz tam kopię swoich danych i usuniesz konto.

Korzystanie z serwisu przez osoby poniżej 16 roku życia wymaga zgody rodzica lub opiekuna prawnego. W szkołach, w których konta zakładane są przez administratora szkoły, odpowiedzialność za uzyskanie stosownej zgody spoczywa na placówce.

• Zgłoszenia: do czasu zarchiwizowania przez szkołę, a następnie przez 24 miesiące od archiwizacji — po tym okresie są automatycznie usuwane wraz ze zdjęciami.
• Dane konta i profilu: do czasu usunięcia konta przez użytkownika lub administratora szkoły.
• Imię i nazwisko przy zgłoszeniach: usuwane natychmiast w chwili usunięcia konta. Treść zgłoszenia i zdjęcia pozostają w systemie szkoły — bez powiązania z Tobą — do końca okresu retencji zgłoszenia.
• Historia zmian uprawnień: 24 miesiące od zdarzenia (rozliczalność zmian uprawnień).
• Dane sesji logowania: do wylogowania lub wygaśnięcia sesji.
• Techniczne dane tymczasowe (dostęp do formularza z linku niepublicznego, trwające przesyłanie zdjęcia): usuwane w ciągu 7 dni od wygaśnięcia.

W sprawach dotyczących ochrony danych osobowych — w tym dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i sprzeciwu — prosimy o kontakt z administratorem danych, czyli z Twoją szkołą, lub z wyznaczonym przez nią inspektorem ochrony danych. Dane kontaktowe znajdziesz w sekretariacie i na stronie internetowej placówki.

Odpowiedź otrzymasz bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania żądania (art. 12 ust. 3 RODO). W szczególnie złożonych sprawach termin może zostać przedłużony o kolejne dwa miesiące — zostaniesz o tym poinformowany wraz z uzasadnieniem.

Sprostowanie imienia i nazwiska przy wysłanym zgłoszeniu realizuje administrator szkoły na Twój wniosek. Imię zapisane przy zgłoszeniu jest utrwalane w chwili wysyłki i nie zmienia się automatycznie po zmianie nazwy wyświetlanej w ustawieniach konta.