Centrum zaufania i ochrony danych (RODO)

Data wejścia w życie: 1 stycznia 2026

Ostatnia aktualizacja: 5 września 2026

Niniejszy dokument dotyczący zaufania i danych stanowi napisane przystępnym językiem uzupełnienie naszej Polityki prywatności oraz Przeglądu bezpieczeństwa. Podsumowuje w jednym miejscu sposób, w jaki Kompunik przestrzega unijnego Rozporządzenia o Ochronie Danych Osobowych (RODO): podstawy prawne, na których się opieramy, przetwarzane przez nas dane, korzystanych podprocesorów, okres przechowywania danych oraz sposób realizacji przysługujących Ci praw.

W przypadku jakiejkolwiek sprzeczności między niniejszym dokumentem a Polityką prywatności, pierwszeństwo jako prawnie wiążący dokument ma Polityka prywatności.

1. Administrator danych

Kompunik SAS 6 rue des Moulins, 13570 Barbentane, France

Kontakt w sprawach ochrony danych: compliance@kompunik.org
Wsparcie ogólne: contact@kompunik.org

Kompunik SAS jest administratorem danych w odniesieniu do danych osobowych przetwarzanych za pośrednictwem platformy edukacyjnej Kompunik. Określamy cele i sposoby przetwarzania Twoich danych osobowych oraz odpowiadamy za ich ochronę zgodnie z RODO.

W przypadku organizacji (przedsiębiorstw, uczelni), które zapisują swoich członków, Kompunik działa jako podmiot przetwarzający w imieniu organizacji w odniesieniu do danych edukacyjnych generowanych w ich przestrzeni oraz jako administrator w odniesieniu do danych konta i rozliczeń.

1.1 Płatności mają odrębnego administratora

Subskrypcje indywidualne sprzedaje Paddle.com Market Limited (Wielka Brytania), działając jako sprzedawca formalny (Merchant of Record). Paddle jest sprzedawcą Twojego zamówienia, a nie dostawcą usług działającym na nasze polecenie.

Ma to konkretny skutek dla Twoich danych: w zakresie samej płatności Paddle jest niezależnym administratorem danych, a nie naszym podmiotem przetwarzającym. Paddle samodzielnie decyduje o celach i sposobach przetwarzania Twoich danych płatniczych i podatkowych, aby wypełnić własne obowiązki sprzedawcy (autoryzacja płatności, kontrola nadużyć, ustalanie i odprowadzanie VAT, fakturowanie oraz ustawowa archiwizacja). Nie możemy wydawać Paddle poleceń co do tych celów, a Paddle nie przetwarza tych danych w naszym imieniu.

W praktyce:

W odniesieniu do danych konta i danych edukacyjnych administratorem jest Kompunik. Takie żądania kieruj do nas.
W odniesieniu do danych płatniczych i rozliczeniowych administratorem jest Paddle. To przetwarzanie reguluje własna informacja o prywatności Paddle, a realizacja praw dotyczących danych płatniczych może wymagać zwrócenia się do Paddle — zob. paddle.com/legal/privacy. Pomożemy przekierować każde żądanie, które trafi najpierw do nas.

Umowy organizacyjne (Enterprise i Academic) są fakturowane bezpośrednio przez Kompunik SAS bez udziału Paddle; sekcja 6 wyjaśnia, który dostawca ma zastosowanie w danym przypadku.

2. Podstawy prawne przetwarzania

Każda kategoria przetwarzanych przez nas danych osobowych opiera się na jednej z poniższych podstaw prawnych RODO (art. 6):

Czynność przetwarzania	Podstawa prawna
Utworzenie i utrzymywanie Twojego konta	Wykonanie umowy (art. 6 ust. 1 lit. b)
Udostępnianie kursów, śledzenie postępów, wystawianie certyfikatów	Wykonanie umowy (art. 6 ust. 1 lit. b)
Otrzymanie potwierdzenia zakupu w celu aktywowania Twojej licencji	Wykonanie umowy (art. 6 ust. 1 lit. b)
Przechowywanie naszej dokumentacji finansowej i rozliczeniowej	Obowiązek prawny wynikający z prawa francuskiego (art. 6 ust. 1 lit. c)
Wysyłanie wiadomości serwisowych i dotyczących bezpieczeństwa (weryfikacja, MFA, potwierdzenia)	Wykonanie umowy (art. 6 ust. 1 lit. b)
Analityka produktowa obliczana na podstawie Twojej własnej aktywności	Prawnie uzasadniony interes (art. 6 ust. 1 lit. f)
Opcjonalne funkcje społecznościowe, profil publiczny i porównania z innymi użytkownikami	Zgoda (art. 6 ust. 1 lit. a)
Analizy wspomagane sztuczną inteligencją (menedżerski Pulse, tłumaczenia)	Prawnie uzasadniony interes, z możliwością rezygnacji (art. 6 ust. 1 lit. f)
Wiadomości marketingowe, w stosownych przypadkach	Zgoda (art. 6 ust. 1 lit. a)

W każdej chwili możesz wycofać zgodę tam, gdzie stanowi ona podstawę przetwarzania, bez wpływu na przetwarzanie, które już miało miejsce.

3. Przetwarzane przez nas dane osobowe

Tożsamość i konto: imię i nazwisko, adres e-mail, zahaszowane hasło, preferowany język, rola oraz przynależność do organizacji.
Uwierzytelnianie: znaczniki czasu logowań, ustawienia MFA oraz identyfikatory SSO z Google Workspace lub Microsoft Entra ID (jeśli są używane).
Dane edukacyjne: postępy w kursach, odpowiedzi w quizach i samoocenach, wyniki diagnostyki, taktyki, playlisty oraz certyfikaty.
Dane społecznościowe (za zgodą): posty, komentarze, reakcje oraz dane profilu publicznego, które zdecydujesz się udostępnić.
Dane płatnicze: nazwa do rozliczeń, zapisy transakcji oraz status subskrypcji. Nigdy nie otrzymujemy ani nie przechowujemy pełnych numerów kart ani kodów CVV. W przypadku subskrypcji indywidualnych trafiają one bezpośrednio do Paddle jako sprzedawcy formalnego, a w przypadku rozliczeń organizacji — bezpośrednio do Stripe. Do nas trafiają wyłącznie identyfikatory niezbędne do aktywowania i utrzymania Twojej licencji: numer referencyjny klienta i transakcji, obciążona kwota wraz z walutą oraz data odnowienia.
Dane techniczne: anonimowy identyfikator sesji, ogólne informacje o urządzeniu/przeglądarce oraz własna analityka stron wykorzystywana do ulepszania produktu.

Nie sprzedajemy danych osobowych, nie stosujemy reklamowych plików cookie stron trzecich oraz nie korzystamy z zewnętrznych narzędzi śledzących, takich jak Google Analytics.

4. Twoje prawa wynikające z RODO

Na mocy RODO przysługują Ci następujące prawa:

Dostęp — uzyskanie kopii przechowywanych przez nas danych osobowych na Twój temat.
Sprostowanie — poprawienie nieprawidłowych lub niekompletnych danych.
Usunięcie („prawo do bycia zapomnianym") — żądanie usunięcia Twojego konta i danych.
Ograniczenie — żądanie ograniczenia przetwarzania w określonych okolicznościach.
Przenoszenie — otrzymanie Twoich danych w ustrukturyzowanym, nadającym się do odczytu maszynowego formacie.
Sprzeciw — sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie.
Wycofanie zgody — w odniesieniu do każdego przetwarzania opartego na zgodzie.

Jak z nich skorzystać:

Samoobsługa: W ustawieniach konta możesz w każdej chwili wyeksportować swoje dane osobowe oraz bezpośrednio usunąć konto.
E-mailowo: Napisz na adres compliance@kompunik.org. Odpowiadamy na wszystkie żądania w ciągu 30 dni, zgodnie z wymogami RODO.

Masz również prawo wnieść skargę do właściwego organu nadzorczego. We Francji jest to CNIL (Commission Nationale de l'Informatique et des Libertés — cnil.fr).

5. Okres przechowywania danych

Kategoria danych	Okres przechowywania
Dane konta i dane edukacyjne	Przez cały okres istnienia Twojego konta
Dane usuniętego konta	Usuwane w ciągu 30 dni od żądania usunięcia
Dokumentacja finansowa i rozliczeniowa	7 lat (obowiązek prawny wynikający z prawa francuskiego)
Wyniki diagnostyki	90 dni (automatyczne wygaśnięcie)
Historia analiz generowanych przez AI	90 dni (automatyczne wygaśnięcie)
Anonimowa analityka stron	Zagregowana; brak trwałych identyfikatorów osobowych
Dzienniki audytu	Przechowywane na potrzeby bezpieczeństwa i zgodności, następnie rotowane

Po zakończeniu okresu przechowywania dane są usuwane lub nieodwracalnie anonimizowane.

6. Podprocesorzy

Korzystamy z niewielkiej liczby starannie wybranych podprocesorów w celu obsługi platformy. Każdy z nich przetwarza dane osobowe na nasze polecenie, jest związany umową powierzenia przetwarzania danych (DPA) na podstawie art. 28 RODO i stosuje odpowiednie zabezpieczenia. Dane są hostowane w UE (Frankfurt, Niemcy) wszędzie tam, gdzie dostawca oferuje hosting regionalny.

Podprocesor	Cel	Lokalizacja danych
MongoDB Atlas	Główna baza danych (konta, dane edukacyjne)	UE — Frankfurt
DigitalOcean Spaces	Multimedia, certyfikaty i przechowywanie plików	Region UE, szyfrowane w spoczynku
Vercel	Hosting i dostarczanie aplikacji	Region funkcji UE (Frankfurt)
Upstash Redis	Ograniczanie liczby żądań	UE — Frankfurt
Stripe	Przetwarzanie płatności wyłącznie dla rozliczeń organizacji (Enterprise i Academic) — PCI-DSS poziom 1	UE/USA ze SKU
Resend	Dostarczanie e-maili transakcyjnych	UE/USA ze SKU
Google i Microsoft	Opcjonalne logowanie SSO (OAuth)	UE/USA ze SKU
OpenAI	Analizy menedżerskie wspomagane AI (z możliwością rezygnacji)	USA ze SKU
DeepL	Tłumaczenie treści	UE (Niemcy)
Sentry	Monitorowanie błędów	UE/USA ze SKU

Prowadzimy aktualną listę podprocesorów. Jeśli dodamy lub zastąpimy podprocesora w sposób, który istotnie wpływa na przetwarzanie Twoich danych, zaktualizujemy tę stronę.

6.1 Niezależni administratorzy (nie podprocesorzy)

Wskazany poniżej podmiot celowo nie znajduje się w powyższej tabeli, ponieważ określenie go mianem naszego podprocesora byłoby nieścisłe:

Podmiot	Rola	Dlaczego nie jest podprocesorem
Paddle.com Market Limited	Sprzedawca formalny (Merchant of Record) subskrypcji indywidualnych	Paddle sprzedaje Ci we własnym imieniu oraz samodzielnie określa cele i sposoby przetwarzania Twoich danych płatniczych i podatkowych, aby wypełnić własne obowiązki prawne sprzedawcy. Jest zatem niezależnym administratorem w rozumieniu art. 4 pkt 7 RODO i nie działa na nasze polecenie.

Tam, gdzie łączy Cię z Paddle bezpośrednia relacja, to przetwarzanie reguluje własna informacja o prywatności Paddle. Zob. sekcja 1.1.

7. Międzynarodowe przekazywanie danych

Nasza infrastruktura została zaprojektowana tak, aby w miarę możliwości utrzymywać dane osobowe w obrębie Unii Europejskiej. Tam, gdzie podprocesor przetwarza dane poza UE (na przykład w Stanach Zjednoczonych), przekazanie jest chronione Standardowymi klauzulami umownymi (SKU) zatwierdzonymi przez Komisję Europejską, wraz z uzupełniającymi zabezpieczeniami technicznymi, takimi jak szyfrowanie w tranzycie i w spoczynku.

Dane płatnicze subskrypcji indywidualnych trafiają do Paddle.com Market Limited w Wielkiej Brytanii. Przekazywanie danych do Wielkiej Brytanii opiera się na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony dla Wielkiej Brytanii, dopóki obowiązuje, a w przeciwnym razie na Standardowych klauzulach umownych. Ponieważ Paddle jest niezależnym administratorem, a nie naszym podmiotem przetwarzającym (sekcja 1.1), przekazanie to odbywa się w ramach mechanizmów Paddle, a nie naszych.

8. Środki bezpieczeństwa (podsumowanie)

Pełny opis jest dostępny w naszym Przeglądzie bezpieczeństwa. W skrócie:

Szyfrowanie wszędzie: TLS 1.2+ w tranzycie; AES-256 w spoczynku.
Kontrola dostępu: uprawnienia oparte na rolach, MFA oraz konta serwisowe o minimalnych uprawnieniach.
Podpisane adresy URL: multimedia są dostarczane za pośrednictwem ograniczonych czasowo podpisanych łączy (wygaśnięcie po 1 godzinie).
Prywatność domyślnie: profile są prywatne, chyba że wyrazisz zgodę na inne ustawienie.
Izolacja najemców: dane każdej organizacji są ściśle odseparowane.
Utwardzona aplikacja: walidacja po stronie serwera, sanityzacja treści, sparametryzowane zapytania, CSP oraz ograniczanie liczby żądań.

9. Powiadamianie o naruszeniu ochrony danych

W przypadku naruszenia ochrony danych osobowych, które może powodować ryzyko naruszenia Twoich praw i wolności, powiadomimy właściwy organ nadzorczy w ciągu 72 godzin od momentu powzięcia o nim wiadomości oraz poinformujemy dotkniętych użytkowników bez zbędnej zwłoki, zgodnie z wymogami art. 33 i 34 RODO. Naszym wewnętrznym celem jest rozpoczęcie dochodzenia i działań naprawczych w ciągu 48 godzin od wykrycia.

10. Pliki cookie i śledzenie

Kompunik wykorzystuje wyłącznie pliki cookie i pamięć lokalną ściśle niezbędne do działania usługi (sesja uwierzytelniania, bezpieczeństwo, preferencje językowe) oraz własną, chroniącą prywatność analitykę. Nie stosujemy reklamowych plików cookie ani śledzenia międzywitrynowego. Nowym odwiedzającym wyświetlany jest baner dotyczący plików cookie, a szczegóły są dostępne w naszej Polityce prywatności.

11. Dane dzieci

Kompunik nie jest skierowany do dzieci poniżej 16. roku życia. Nie gromadzimy świadomie danych osobowych dzieci. Jeśli sądzisz, że dziecko przekazało nam dane osobowe, skontaktuj się z nami pod adresem compliance@kompunik.org, a my je usuniemy.

12. Kontakt

W przypadku jakichkolwiek pytań dotyczących Twoich danych, niniejszego dokumentu dotyczącego zaufania i danych lub w celu realizacji przysługujących Ci praw wynikających z RODO: