1. Administrator Danych

1.1. Administratorem Twoich danych osobowych jest Fornixa Imaging Spółka z ograniczoną odpowiedzialnością, z siedzibą przy ul. Stanisława Moniuszki 11, 35-015 Rzeszów, Polska, KRS: 0001213149, NIP: 8133944678 (dalej: „Administrator").

1.2. Dbamy o to, aby Twoje dane były przetwarzane zgodnie z RODO (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679).

1.3. Administrator nie wyznaczył Inspektora Ochrony Danych (IOD). We wszelkich sprawach dotyczących ochrony danych osobowych prosimy o kontakt: privacy@ecgtutor.com. Na zapytania odpowiadamy w ciągu 30 dni zgodnie z Art. 12 ust. 3 RODO.

2. Jakie dane przetwarzamy?

Dane Konta: Adres e-mail, imię i nazwisko, hasło (w formie zaszyfrowanej/hash).
Dane Edukacyjne: Postępy w nauce, wyniki quizów, historia rozwiązanych przypadków EKG, parametry adaptacyjnego nauczania.
Dane Techniczne: Adres IP, typ urządzenia, typ przeglądarki, dane z niezbędnego cookie sesyjnego oraz localStorage (token dostępu, preferencje motywu i języka).
Dane Płatności: Status subskrypcji, typ płatności (subskrypcja/jednorazowa), okres dostępu. Pełne dane kart i płatności BLIK/P24 przetwarzane są wyłącznie przez Stripe — nie przechowujemy numerów kart ani danych uwierzytelniających płatności.

3. Cel i podstawy przetwarzania

Przetwarzamy Twoje dane w następujących celach:

Świadczenie usługi (Art. 6 ust. 1 lit. b RODO): Umożliwienie logowania, śledzenia postępów, obsługa płatności.
Ulepszanie algorytmów AI (Art. 6 ust. 1 lit. f RODO): Anonimowe dane o wynikach nauczania (uzasadniony interes).
Komunikacja (Art. 6 ust. 1 lit. a/f RODO): Powiadomienia techniczne, informacje o zmianach w Regulaminie.
Bezpieczeństwo i dochodzenie roszczeń (Art. 6 ust. 1 lit. f RODO): Logi bezpieczeństwa, zapobieganie nadużyciom.
Obowiązki wynikające z projektu UE (Art. 6 ust. 1 lit. c RODO): Sprawozdawczość i audyt w ramach programu FEPW 2021–2027.
Komunikacja marketingowa (Art. 6 ust. 1 lit. a RODO): Jeśli Użytkownik wyrazi wyraźną zgodę, możemy wysyłać newslettery, aktualizacje produktów i materiały promocyjne. Zgodę można cofnąć w dowolnym momencie klikając „rezygnuj z subskrypcji" w dowolnym mailu lub kontaktując się z privacy@ecgtutor.com. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed cofnięciem.
Badania naukowe i rozwój produktu (Art. 6 ust. 1 lit. f RODO): Pseudonimizowane dane behawioralne (czas spędzony na etapach treningu, korzystanie z podpowiedzi, wzorce odpowiedzi, parametry techniczne urządzenia) wykorzystywane w formie zagregowanej do badań nad efektywnością nauczania medycyny i publikacji naukowych — szczegóły w § 15 Regulaminu.

4. Odbiorcy danych (Procesorzy)

Twoje dane mogą być powierzane zaufanym partnerom technologicznym:

Google Cloud Platform (GCP): Hosting infrastruktury w regionie europe-west1 (Belgia, EOG). Google przetwarza dane zgodnie ze Standardowymi Klauzulami Umownymi (SCC) zatwierdzonymi przez Komisję Europejską.
Stripe, Inc. (USA) + krajowi operatorzy (BLIK, Przelewy24): Obsługa transakcji płatniczych. Transfer danych do USA na podstawie EU-US Data Privacy Framework.
Google Gemini API: Przetwarzanie zapytań AI do generowania scenariuszy edukacyjnych (dane zanonimizowane, bez identyfikatorów użytkownika).
PARP / Instytucje kontrolne: W zakresie wymaganym przez projekt FEPW (audyt, sprawozdawczość).

W przypadku przekazywania danych do krajów spoza Europejskiego Obszaru Gospodarczego (EOG), Administrator zapewnia odpowiednie zabezpieczenia, w szczególności: Standardowe Klauzule Umowne (SCC) zatwierdzone przez Komisję Europejską (Art. 46 ust. 2 lit. c RODO), Ramy EU-US Data Privacy Framework (w przypadku transferów do dostawców z siedzibą w USA certyfikowanych w ramach tego programu, w tym Stripe). Użytkownicy mają prawo uzyskać kopię zabezpieczeń stosowanych przy transferach międzynarodowych kontaktując się z privacy@ecgtutor.com.

5. Profilowanie i AI

5.1. Platforma wykorzystuje zautomatyzowane podejmowanie decyzji (profilowanie) w ograniczonym zakresie: algorytm powtórek (spaced repetition SM-2) dobiera materiał edukacyjny na podstawie wcześniejszych wyników.

5.2. Profilowanie to nie wywołuje skutków prawnych wobec Użytkownika, a jedynie dostosowuje ścieżkę edukacyjną. Użytkownik ma prawo nie podlegać w pełni zautomatyzowanemu przetwarzaniu (Art. 22 RODO) — w celu zgłoszenia sprzeciwu prosimy o kontakt: privacy@ecgtutor.com.

5.3. Platforma może automatycznie ograniczyć lub zawiesić dostęp do Konta w przypadku wykrycia naruszeń Regulaminu (np. wielokrotne nieudane próby logowania, podejrzenie nieautoryzowanego dostępu). Takie działania podlegają weryfikacji ludzkiej na wniosek Użytkownika złożony na adres contact@fornixaimaging.com.

6. Okres przechowywania danych

Dane osobowe przechowywane są przez następujące okresy:

Dane Konta: Do momentu usunięcia konta przez Użytkownika lub do 3 lat od ostatniego logowania (nieaktywne konta).
Dane Edukacyjne: Przez czas posiadania konta. Po usunięciu konta dane są anonimizowane w ciągu 30 dni.
Logi bezpieczeństwa (audit logs): 6 lat od daty zdarzenia (wymóg zgodności HIPAA / RODO Art. 17 ust. 3 lit. e).
Dane Płatności (status): Przez czas trwania subskrypcji + 5 lat (obowiązek podatkowy).
Dane projektowe FEPW: Zgodnie z wymaganiami programu — do zakończenia okresu trwałości projektu (min. 5 lat od zakończenia projektu).

7. Pliki cookies i localStorage

7.1. Platforma wykorzystuje wyłącznie niezbędne pliki cookies (cookie HttpOnly do odświeżania sesji oraz cookies sesyjne dostawców płatności) i mechanizm localStorage przeglądarki. Aktualnie nie stosujemy cookies analitycznych ani marketingowych. W przypadku ich wdrożenia w przyszłości, Użytkownik zostanie poproszony o wyrażenie zgody za pośrednictwem bannera cookies. W ramach localStorage i cookies przechowujemy:

Token dostępu (JWT) w localStorage oraz cookie odświeżające HttpOnly — niezbędne do autoryzacji, usuwane po wylogowaniu.
Preferencje motywu (jasny/ciemny) — wyłącznie lokalne, nie wysyłane na serwer.
Preferencje języka (PL/EN) — wyłącznie lokalne, nie wysyłane na serwer.

7.2. Użytkownik może w każdej chwili wyczyścić dane localStorage oraz cookies w ustawieniach przeglądarki. Wyczyszczenie tokenów sesji skutkuje wylogowaniem.

7.3. Platforma może ładować skrypty od zewnętrznych dostawców (w tym Stripe.js do obsługi płatności). Skrypty te mogą ustawiać własne pliki cookies zgodnie z politykami prywatności tych dostawców. Użytkownik może zarządzać preferencjami dotyczącymi cookies w ustawieniach przeglądarki.

8. Wiek minimalny

Platforma jest przeznaczona dla osób, które ukończyły 16 lat. Nie przetwarzamy świadomie danych osób poniżej 16. roku życia. Jeśli dowiemy się, że przetwarzamy dane osoby niepełnoletniej bez zgody rodzica/opiekuna, niezwłocznie je usuniemy.

8.2. Usługodawca nie weryfikuje technicznie wieku Użytkownika podczas rejestracji. Użytkownik deklaruje swój wiek akceptując niniejsze Warunki. Jeśli Usługodawca uzyska informację, że osoba poniżej 16 roku życia utworzyła Konto, Konto i wszystkie powiązane dane zostaną natychmiast usunięte.

9. Twoje Prawa

Na podstawie RODO przysługują Ci następujące prawa:

Prawo dostępu do danych (Art. 15) — możesz uzyskać kopię swoich danych.
Prawo do sprostowania (Art. 16) — możesz poprawić nieprawidłowe dane.
Prawo do usunięcia (Art. 17) — możesz żądać usunięcia swoich danych ("prawo do bycia zapomnianym").
Prawo do ograniczenia przetwarzania (Art. 18) i przenoszenia danych (Art. 20).
Prawo do sprzeciwu (Art. 21) — wobec przetwarzania opartego na uzasadnionym interesie.
Prawo do cofnięcia zgody w dowolnym momencie (Art. 7 ust. 3), bez wpływu na zgodność z prawem przetwarzania przed cofnięciem.
Prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl.

10. Powiadomienie o naruszeniu ochrony danych

10.1. W przypadku naruszenia ochrony danych osobowych, które może powodować wysokie ryzyko naruszenia praw i wolności Użytkowników, Administrator powiadomi osoby, których dane dotyczą, bez zbędnej zwłoki, zgodnie z Art. 34 RODO.

10.2. Administrator powiadamia Prezesa Urzędu Ochrony Danych Osobowych (PUODO) o naruszeniu w terminie 72 godzin od jego stwierdzenia, zgodnie z Art. 33 RODO.

10.3. Powiadomienie Użytkownika zawiera co najmniej: opis charakteru naruszenia, dane kontaktowe Administratora, opis prawdopodobnych konsekwencji oraz opis środków podjętych w celu zaradzenia naruszeniu.

11. Ocena skutków przetwarzania (DPIA)

11.1. Administrator przeprowadza Ocenę Skutków dla Ochrony Danych (DPIA) zgodnie z Art. 35 RODO w przypadku operacji przetwarzania, które mogą powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych, w szczególności w odniesieniu do profilowania edukacyjnego i przetwarzania danych za pośrednictwem systemów AI.

11.2. Wyniki DPIA są uwzględniane przy projektowaniu i wdrażaniu nowych funkcji Platformy zgodnie z zasadą ochrony danych w fazie projektowania (privacy by design, Art. 25 RODO).

12. Kontakt

W sprawach związanych z ochroną danych osobowych skontaktuj się z nami pod adresem: privacy@ecgtutor.com. Odpowiadamy na zapytania w terminie 30 dni zgodnie z Art. 12 ust. 3 RODO.

Polityka Prywatności