Polityka prywatności

1. Kto odpowiada za Twoje dane?

Administratorem danych osobowych przetwarzanych w związku z działaniem Didaxi jest:

Matimenti Marcin Kobuszewski, jednoosobowa działalność gospodarcza prowadzona przez Marcina Kobuszewskiego, posługująca się nazwą handlową Didaxi, wpisana do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), adres działalności: 07-411 Ławy, Ławy 91A, adres korespondencyjny: 07-411 Ławy, Ławy 91A, NIP: 7582274330, REGON: 526832383 („Operator”, „Didaxi”, „my”).

Kontakt:

• prywatność i realizacja praw: privacy@didaxi.net;
• ogólne wsparcie: support@didaxi.net;
• korespondencja pocztowa: 07-411 Ławy, Ławy 91A;
• inspektor ochrony danych: nie powołaliśmy; pytania o prywatność i wnioski o realizację praw kieruj na privacy@didaxi.net.

Serwis jest dostępny pod adresem https://didaxi.net.

2. Zakres i role stron

Polityka dotyczy odwiedzających, zarejestrowanych czytelników, twórców, kupujących, przedstawicieli sprzedawców i osób kontaktujących się z nami.

Operator jest administratorem w zakresie prowadzenia kont, działania i bezpieczeństwa platformy, rozliczeń platformowych, wsparcia oraz własnych obowiązków prawnych. Twórca decyduje, jakie treści przesyła i publikuje. Jeśli treść twórcy zawiera dane osobowe innej osoby, twórca może być odrębnym administratorem i musi posiadać podstawę prawną oraz spełnić właściwy obowiązek informacyjny. Operator może przechowywać takie dane w celu świadczenia Serwisu. Didaxi jest kierowane do osób indywidualnych. Nie oferujemy go szkołom ani instytucjom, więc nie przewidujemy sytuacji, w której instytucja umieszcza w pracowni dane innych osób; takie użycie wymagałoby wcześniej odrębnej umowy.

Jeśli Twoje dane występują w treści twórcy, skontaktuj się z nim, jeżeli został wskazany, albo napisz na privacy@didaxi.net. Ocenimy żądanie, zabezpieczymy właściwe prawa i — gdy będzie to odpowiednie — przekażemy je podmiotowi odpowiedzialnemu.

Nie przesyłaj danych szczególnych kategorii, danych medycznych, numerów dokumentów urzędowych, danych dostępowych do finansów, poufnych danych uczniów ani innych danych osób trzecich, chyba że Didaxi wyraźnie obsługuje takie zastosowanie i masz udokumentowane uprawnienie do przetwarzania.

3. Jakie dane przetwarzamy?

Zależnie od sposobu korzystania z Didaxi przetwarzamy:

1. Dane konta i tożsamości: adres e-mail, skrót kryptograficzny hasła, imię i nazwisko, język, status potwierdzenia e-mail, rola konta, oznaczenie administratora oraz znaczniki czasu.
2. Dane uwierzytelniania i bezpieczeństwa: skróty tokenów sesji, dane potwierdzania i resetowania hasła, zaszyfrowany sekret MFA administratora, rekordy wyzwań MFA, znaczniki czasu sesji/urządzenia, adres IP, user-agent, zdarzenia żądań i bezpieczeństwa, logi audytowe, ograniczenia częstotliwości i informacje o incydentach.
3. Dowody dotyczące dokumentów prawnych: klucz, dokładna wersja i status dokumentu, język, ścieżka, źródło i czas czynności, adres IP oraz user-agent.
4. Dane pracowni i twórcy: nazwa i slug pracowni, publiczny profil/opis, status twórcy, plan i limity, członkostwa, taksonomie, szkice, dokumenty, zestawy, kursy, publikacje, ustawienia dostępu, tokeny udostępniania i metadane.
5. Treści przesłane i wygenerowane: pliki, obrazy, PDF-y, treści tekstowe, nazwy plików, typ MIME, rozmiar, sumy kontrolne, tytuły, opisy, wejścia i wyniki OCR, prompty, wybrany kontekst, odpowiedzi AI i metadane treści. Treść może zawierać dane osobowe, jeśli użytkownik je wprowadzi.
6. Dane użytkowania i operacyjne: czynności w Serwisie, użycie funkcji, zużycie AI/OCR, daty, statusy, błędy, logi techniczne i diagnostyka wsparcia.
7. Komunikacja: zgłoszenia wsparcia, reklamacje, zawiadomienia, adres e-mail, treść wiadomości, status dostarczenia i metadane kolejki e-mail.
8. Dane rozliczeń i transakcji: typ kupującego, imię i nazwisko, e-mail do faktury, adres, kraj, waluta, plan, okres rozliczeniowy, kwota, podział/status VAT, status zakupu, identyfikatory sprzedawcy i kupującego, identyfikatory klienta/sesji/płatności/subskrypcji/konta Stripe, status zwrotu i daty. Didaxi nie zamierza przechowywać pełnych numerów kart ani kodów CVC — są one podawane Stripe.
9. Działania publiczne i społecznościowe: publiczne treści twórców i publikacji, obserwowanie, zakładki, uprawnienia dostępu i dostępy wynikające z zakupu.
10. Dane sprzedawcy: zadeklarowany status przedsiębiorcy/osoby niebędącej przedsiębiorcą, publiczna nazwa prawna/handlowa, adres, e-mail, telefon, kraj, właściwe identyfikatory rejestrowe/podatkowe, czas potwierdzenia, migawka danych sprzedawcy zaakceptowana dla zamówienia, identyfikator konta połączonego Stripe, zwrócone przez Stripe informacje o onboardingu/statusie, agregaty wypłat/sprzedaży i dane transakcji. Stripe może samodzielnie zbierać dokumenty tożsamości, dane bankowe, podatkowe i weryfikacyjne, których baza aplikacji Didaxi nie przechowuje.

W przeanalizowanym kodzie aplikacji nie stwierdzono obecnie zewnętrznych trackerów reklamowych ani SDK analitycznych.

4. Skąd mamy dane?

Dane otrzymujemy:

• bezpośrednio od Ciebie podczas rejestracji, konfiguracji profilu, tworzenia lub przesyłania treści, kupowania, sprzedawania, korzystania z AI/OCR i kontaktu;
• automatycznie z przeglądarki/urządzenia oraz infrastruktury podczas korzystania z Serwisu;
• od Stripe w związku z checkoutem, subskrypcjami, płatnościami, zwrotami, sporami, onboardingiem sprzedawców i wypłatami;
• od OpenAI i Mathpix w postaci odpowiedzi i technicznych informacji o użyciu, gdy zamawiasz opcjonalną funkcję;
• od twórców, gdy publikują treści lub zarządzają dostępem i sprzedażą;
• z rejestrów publicznych lub od właściwych organów, gdy wymaga tego weryfikacja albo obowiązek prawny.

5. Cele i podstawy prawne

Cel	Typowe dane	Podstawa z RODO
Założenie, uwierzytelnianie i obsługa konta; funkcje czytelnika i twórcy	Konto, sesja, pracownia, treści, ustawienia	Umowa lub działania przed jej zawarciem, art. 6 ust. 1 lit. b
Przechowywanie, renderowanie, udostępnianie, publikowanie i zapewnienie zakupionego dostępu	Treść, profil, dane dostępu i uprawnień	Umowa, art. 6 ust. 1 lit. b; uzasadniony interes w realizacji publikacji zleconej przez użytkownika, art. 6 ust. 1 lit. f
Opcjonalne tworzenie z AI i OCR na żądanie użytkownika	Prompty, wybrany kontekst/treść, pliki/obrazy, wyniki, użycie	Umowa, art. 6 ust. 1 lit. b; użytkownik każdorazowo wybiera wysłanie
Premium, checkout publikacji, onboarding sprzedawcy i wypłaty	Dane kontaktowe, rozliczeniowe, transakcyjne, identyfikatory Stripe	Umowa, art. 6 ust. 1 lit. b; obowiązek prawny, lit. c; interes bezpieczeństwa płatności i przeciwdziałania oszustwom, lit. f
Dokumentacja księgowa, podatkowa, konsumencka i transakcyjna	Rozliczenia, zakupy, sprzedawca, korespondencja	Obowiązek prawny, art. 6 ust. 1 lit. c
Wiadomości potwierdzające, bezpieczeństwa, serwisowe, zakupowe i rozliczeniowe	E-mail, imię, zdarzenie i treść wiadomości	Umowa, lit. b; obowiązek prawny, lit. c; interes niezawodnej komunikacji serwisowej, lit. f
Opcjonalna komunikacja marketingowa	E-mail i preferencje	Zgoda, art. 6 ust. 1 lit. a, wraz z przepisami komunikacji elektronicznej
Bezpieczeństwo, przeciwdziałanie nadużyciom/oszustwom, diagnostyka i egzekwowanie regulaminu	IP, user-agent, logi, sesje, audyt, sygnały treści/transakcji	Uzasadniony interes w bezpieczeństwie i roszczeniach, lit. f; obowiązek prawny, gdy ma zastosowanie, lit. c
Dowody akceptacji, umowy, odstąpienia i transakcji	Wersje, IP, user-agent, daty	Obowiązek prawny, lit. c; interes wykazania umowy i zgodności, lit. f
Wsparcie, reklamacje, prawa, zgłoszenia i spory	Konto, komunikacja, treść, transakcje, weryfikacja	Umowa, lit. b; obowiązek prawny, lit. c; roszczenia, lit. f
Moderacja treści bezprawnych lub zakazanych i ochrona osób	Treść, konto, zgłoszenia, dowody audytowe	Obowiązek prawny, lit. c; interes bezpiecznego Serwisu i ochrony praw, lit. f
Pojemność, limity, niezawodność i ulepszanie Serwisu	Użycie, błędy, zagregowane statystyki

Jeśli podstawą jest zgoda, możesz ją wycofać w dowolnym czasie bez wpływu na wcześniejsze zgodne z prawem przetwarzanie. Wycofanie nie wpływa na przetwarzanie wymagane umową, prawem, bezpieczeństwem lub dochodzeniem roszczeń.

6. Tworzenie z AI i OCR

AI i OCR są opcjonalne i uruchamiane tylko na żądanie użytkownika.

• OpenAI: Didaxi wysyła instrukcję, bieżące/wybrane treści edukacyjne i wybrany kontekst OCR do API OpenAI i otrzymuje wygenerowany tekst. Didaxi przechowuje prompty, kontekst, odpowiedzi, dane modelu/użycia, status i ograniczone informacje o błędach przez 12 miesięcy albo do usunięcia pracowni, zależnie co nastąpi wcześniej. OpenAI deklaruje, że domyślnie nie wykorzystuje wejść ani wyjść API do trenowania modeli.
• Mathpix: Didaxi wysyła wybrany obraz źródłowy, nazwę pliku i typ MIME do API Mathpix, żądając tekstu/LaTeX/HTML z improve_mathpix: false. Didaxi przechowuje wynik i dane użycia/statusu przez 12 miesięcy albo do usunięcia pracowni, zależnie co nastąpi wcześniej. Mathpix ma siedzibę w Stanach Zjednoczonych, a przekazanie opiera się na standardowych klauzulach umownych z jego umowy powierzenia.

Nie przesyłaj do tych funkcji danych osób trzecich ani treści poufnych bez uprawnienia i zrozumienia transferu. Wyniki AI/OCR mogą być błędne i wymagają weryfikacji przed użyciem lub publikacją. Didaxi nie wykorzystuje ich do podejmowania wobec osób decyzji wywołujących skutki prawne lub podobnie istotne.

7. Płatności i sprzedaż twórców

Stripe otrzymuje dane potrzebne do płatności, zapobiegania oszustwom, kontroli regulacyjnych, subskrypcji, onboardingu kont połączonych i wypłat. W pewnych czynnościach Stripe może być podmiotem przetwarzającym na rzecz Didaxi, a dla własnych regulowanych, antyfraudowych i zgodnościowych celów — odrębnym lub wspólnym administratorem. Zapoznaj się z informacjami Stripe dostępnymi podczas checkoutu/onboardingu.

Przy zakupie publikacji twórcy Didaxi obecnie udostępnia w jego pracowni imię, nazwisko i e-mail kupującego, kwotę, podział VAT, status i datę zakupu. Udostępnienie należy ograniczyć do danych niezbędnych do wykonania umowy, księgowości, reklamacji i zgodnych z prawem obowiązków sprzedawcy. Sprzedawcą własnych publikacji jest Twórca: płatność trafia na jego własne konto płatnicze i to on decyduje o zwrotach, więc otrzymuje te dane jako odrębny administrator i odpowiada za nie na tej zasadzie.

8. Odbiorcy danych

Dane mogą otrzymać — tylko w niezbędnym zakresie:

• upoważniony personel i współpracownicy Operatora objęci poufnością i kontrolą dostępu;
• SEOHOST w Polsce — hosting aplikacji, baza danych i kopie zapasowe;
• Cloudflare Ireland Ltd — przechowywanie przesłanych plików oraz powiązane dostarczanie i bezpieczeństwo. Bucket nie ma obecnie ograniczenia jurysdykcyjnego, więc pliki mogą być przechowywane poza Europejskim Obszarem Gospodarczym na podstawie umowy powierzenia z Cloudflare;
• własny przekaźnik pocztowy Operatora i SEOHOST w Polsce — e-maile transakcyjne;
• podmioty Stripe, instytucje finansowe, sieci płatnicze, podmioty weryfikujące i połączeni sprzedawcy — Stripe Payments Europe, Limited, Dublin, Irlandia;
• OpenAI dla tworzenia AI zamówionego przez użytkownika — OpenAI Ireland Ltd; nie mamy włączonej rezydencji danych, więc przetwarzanie może odbywać się w Stanach Zjednoczonych;
• Mathpix dla OCR zamówionego przez użytkownika — Mathpix, Inc., Stany Zjednoczone;
• YouTube (Google) lub Vimeo, gdy odbiorca wybierze załadowanie osadzonego filmu; dostawca otrzyma dane sieci/przeglądarki i może przetwarzać je według własnych informacji;
• twórcy/sprzedawcy w zakresie dostępu, ewidencji sprzedaży, reklamacji lub zwrotów;
• doradcy, audytorzy, ubezpieczyciele i potencjalni następcy biznesowi z właściwymi zabezpieczeniami;
• sądy, organy nadzoru, podatkowe i ścigania, gdy ujawnienie wynika z prawa lub ochrony praw.

Aktualną listę procesorów i podprocesorów publikujemy pod https://didaxi.net/processors.

9. Transfery poza EOG

Niektórzy dostawcy lub ich podprocesorzy przetwarzają dane poza Europejskim Obszarem Gospodarczym, w tym w Stanach Zjednoczonych. Każde takie przekazanie opiera się na standardowych klauzulach umownych Komisji Europejskiej zawartych w umowie powierzenia z danym dostawcą, chyba że wskazano dla niego inną podstawę.

Gdzie leżą dane: hosting, baza danych, wysyłka e-maili i kopie zapasowe działają w SEOHOST w Polsce, bez przekazania poza Europejski Obszar Gospodarczy; pliki przechowuje Cloudflare Ireland Ltd; płatności obsługuje Stripe Payments Europe, Limited w Irlandii; AI korzysta z OpenAI Ireland Ltd, a OCR z Mathpix, Inc. w Stanach Zjednoczonych — w obu przypadkach przetwarzanie może odbywać się poza Europejskim Obszarem Gospodarczym na podstawie standardowych klauzul umownych z ich umów powierzenia. Po kopię zabezpieczeń napisz na privacy@didaxi.net.

10. Retencja

Dane trzymamy tylko tak długo, jak wymaga tego cel, prawo, bezpieczeństwo albo roszczenia:

Zapis	Planowany okres/kryterium
Niepotwierdzone konto i potwierdzenia	Kody potwierdzające 15 minut; niepotwierdzone konta usuwamy po 7 dniach
Aktywne konto, pracownia, treści prywatne i ustawienia	W czasie aktywności, potem usunięcie w ciągu 30 dni z wyjątkami poniżej
Pliki R2 po usunięciu	Próba niezwłocznego usunięcia, obsługa awarii i usunięcie w ciągu 30 dni
Kopie zapasowe	30 dni; odseparowane od zwykłego użycia, usuwane rotacyjnie
Dane finansowe, zakupowe, fakturowe, VAT i wypłat	Ustawowy okres podatkowy i rachunkowy
Dowody dokumentów, odstąpienia i umowy	Okres przedawnienia; zachowujemy po usunięciu konta jako dowód zawarcia umowy
Logi bezpieczeństwa, uwierzytelniania, audytu i incydentów	12 miesięcy
Wsparcie, reklamacje i realizacja praw	24 miesiące
Kolejka e-mail i metadane dostarczenia	Treść wiadomości 90 dni; metadane doręczenia 12 miesięcy
Prompty, kontekst, odpowiedzi i błędy AI	12 miesięcy albo do usunięcia pracowni, zależnie co nastąpi wcześniej
Wyniki OCR i lokalne dane użycia	12 miesięcy albo do usunięcia pracowni, zależnie co nastąpi wcześniej
Treści publiczne po zamknięciu konta	Usuwamy razem z kontem, poza materiałami z zakończonymi zakupami — te zostają dostępne do końca gwarantowanego okresu dostępu
Dane do istniejących lub przewidywanych roszczeń	Okres przedawnienia, przedłużony o dane istotne dla trwającego sporu

Kopie po stronie dostawców podlegają zweryfikowanym umowom i mechanizmom usuwania. Usunięcie może być ograniczone, gdy dane są potrzebne do obowiązku prawnego, wolności wypowiedzi i informacji albo ustalenia, dochodzenia lub obrony roszczeń.

11. Twoje prawa

Na warunkach przewidzianych prawem możesz żądać:

• dostępu i kopii danych;
• sprostowania danych nieprawidłowych lub uzupełnienia;
• usunięcia;
• ograniczenia przetwarzania;
• przenoszenia danych dostarczonych przez Ciebie, gdy przetwarzanie jest zautomatyzowane i oparte na zgodzie lub umowie;
• sprzeciwu wobec uzasadnionego interesu i bezwarunkowego sprzeciwu wobec marketingu bezpośredniego;
• wycofania zgody;
• informacji o zabezpieczeniach transferu;
• niepodlegania wyłącznie zautomatyzowanej decyzji o skutkach prawnych lub podobnie istotnych, gdy dotyczy.

Napisz na privacy@didaxi.net. Możemy zażądać proporcjonalnych danych do weryfikacji tożsamości i ochrony innych osób. Możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl) albo innego właściwego organu. Uprzedni kontakt z nami nie jest obowiązkowy.

12. Czy podanie danych jest obowiązkowe?

Dane konta, uwierzytelniania i podstawowych funkcji są wymagane umownie; bez nich nie utworzymy lub nie obsłużymy konta. Dane rozliczeniowe/płatnicze są wymagane do zakupu lub sprzedaży. Dane wymagane przez przepisy podatkowe, konsumenckie, płatnicze lub antyfraudowe mogą być obowiązkowe prawnie. Wysłanie treści do AI/OCR i zgoda marketingowa są dobrowolne; odmowa nie blokuje niezwiązanych funkcji podstawowych.

13. Pliki cookie i pamięć urządzenia

Didaxi używa ściśle niezbędnego cookie sesji uwierzytelniającej do utrzymania logowania i ochrony Serwisu. Jest ono HTTP-only i wygasa zgodnie z konfiguracją, najpóźniej po 30 dniach. Niezbędne przechowywanie nie wymaga opcjonalnej zgody marketingowej, ale podlega obowiązkowi informacyjnemu.

W przeanalizowanym kodzie nie stwierdzono opcjonalnej analityki ani reklamy. Jeśli zostaną dodane, przed zapisem/odczytem informacji na urządzeniu zaktualizujemy Politykę i uzyskamy wymaganą zgodę.

Treści twórców mogą osadzać YouTube lub Vimeo. Do tych dostawców nic nie trafia, dopóki sam nie uruchomisz filmu: wcześniej strona pokazuje zastępczy kafelek i nie łączy się z nimi. Po uruchomieniu dostawca otrzymuje Twój adres IP i dane przeglądarki oraz może sięgnąć do pamięci urządzenia. Filmy z YouTube ładujemy przez youtube-nocookie.com.

14. Bezpieczeństwo

Stosujemy środki adekwatne do ryzyka, m.in. hashowanie haseł i tokenów sesji, obowiązkowe MFA TOTP dla administratorów platformy, kontrolę dostępu, TLS przez dostawców, podpisane webhooki płatnicze, ograniczone poświadczenia pamięci, logi audytowe, limity żądań, kopie zapasowe szyfrowane w spoczynku i możliwe do przywrócenia wyłącznie przez Operatora oraz procedury incydentowe prowadzone przez Operatora, ze zgłoszeniami bezpieczeństwa na security@didaxi.net i zawiadomieniem organu nadzorczego w ciągu 72 godzin, gdy jest wymagane. Żaden system nie jest całkowicie bezpieczny. Podejrzenie naruszenia zgłoś na security@didaxi.net.

15. Dzieci

Czytanie opublikowanych materiałów nie wymaga konta i nie ma progu wieku. Konto założysz od 16 lat, a zakup i sprzedaż wymagają 18 lat. Oba progi potwierdza sama osoba w momencie, w którym mają zastosowanie, a potwierdzenie zapisujemy tak samo jak akceptację polityk. Didaxi nie weryfikuje wieku dokumentem i nie przetwarza świadomie danych dziecka poniżej progu konta; jeśli sądzisz, że takie dane się pojawiły, napisz na privacy@didaxi.net, a je usuniemy.

16. Zmiany Polityki

Opublikujemy wersję i datę wejścia w życie. O istotnych zmianach poinformujemy w trwałej lub wyraźnej formie odpowiedniej do ich wpływu. Gdy nowy cel wymaga zgody, poprosimy o nią przed rozpoczęciem przetwarzania. Polityka jest informacją o przetwarzaniu — użytkownik potwierdza zapoznanie się z nią, a nie zrzeka się praw.

17. Kontakt

• Pytania i realizacja praw: privacy@didaxi.net
• Zgłoszenia bezpieczeństwa: security@didaxi.net
• Ogólne wsparcie: support@didaxi.net
• Adres pocztowy: 07-411 Ławy, Ławy 91A