Polityka Prywatności

§ 1. Informacje ogólne

1. Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych w związku z korzystaniem z platformy MonteFlow.cloud (dalej: „Platforma”) prowadzonej przez:

   ZUBEL.PRO Krystian Zubel
   Jednoosobowa Działalność Gospodarcza
   ul. Orzechowa 5, 55-040 Dobkowice, Polska
   NIP: 913-153-70-18
   Kontakt ogólny: support@monteflow.cloud Kontakt w sprawach ochrony danych: privacy@monteflow.cloud

   Dalej: „ZUBEL.PRO”, „my” lub „Operator”.

2. ZUBEL.PRO pełni w związku z Platformą dwie odrębne role w rozumieniu RODO:

   • Administrator danych — w odniesieniu do danych osobowych zbieranych we własnym imieniu i na własne cele (dane przedstawicieli Placówek, dane rozliczeniowe, dane techniczne związane z działaniem Platformy). Szczegóły w § 3.
   • Podmiot przetwarzający (procesor) — w odniesieniu do danych osobowych wprowadzanych do Platformy przez Placówki (dane dzieci, rodziców, nauczycieli). Szczegóły w § 4.
3. Polityka dotyczy wszystkich osób korzystających z Platformy lub których dane są w niej przetwarzane: przedstawicieli Placówek, osób dokonujących zakupu Usługi przez stronę internetową, nauczycieli i personelu, rodziców i opiekunów prawnych oraz uczestników zajęć (wychowanków, uczniów, uczestników szkoleń, w tym dzieci).

§ 2. Definicje

Na potrzeby niniejszej Polityki Prywatności poniższe pojęcia mają następujące znaczenie:

• RODO — rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych.
• Platforma — serwis internetowy MonteFlow.cloud wraz z powiązanymi usługami.
• Placówka — przedszkole, szkoła lub inna placówka oświatowa korzystająca z Platformy na podstawie umowy z ZUBEL.PRO.
• Użytkownik — każda osoba posiadająca konto w Platformie (nauczyciel, rodzic, opiekun prawny, pracownik Placówki).
• Dane powierzone — dane osobowe wprowadzane do Platformy przez Placówkę lub jej Użytkowników, których administratorem jest Placówka.

§ 3. ZUBEL.PRO jako administrator danych

1. Jakie dane zbieramy jako administrator

   W ramach własnej działalności ZUBEL.PRO zbiera i przetwarza następujące kategorie danych osobowych:

   1. Dane przedstawicieli Placówek (klientów B2B):

      • imię i nazwisko osoby reprezentującej Placówkę,
      • stanowisko/funkcja w Placówce,
      • służbowy adres e-mail,
      • służbowy numer telefonu,
      • dane Placówki: nazwa, adres siedziby, NIP, REGON.

   2. Dane rozliczeniowe i dane zakupu przez stronę internetową:

      • dane niezbędne do wystawienia faktury (nazwa Placówki, adres siedziby, kraj, NIP lub numer VAT UE),
      • imię i nazwisko oraz adres e-mail osoby dokonującej zakupu (adres ten staje się adresem Konta Właściciela i adresem e-mail do rozliczeń), numer telefonu, jeżeli został podany,
      • identyfikatory klienta, subskrypcji i płatności nadane przez operatora płatności (Stripe) oraz system fakturowania (inFakt), numer faktury i numer KSeF,
      • ograniczone dane o metodzie płatności przekazywane przez operatora płatności (rodzaj i marka karty, cztery ostatnie cyfry, data ważności) — ZUBEL.PRO nie otrzymuje pełnego numeru karty ani kodu CVC,
      • zdarzenia płatności (np. opłacenie, nieudane obciążenie, zwrot, zakwestionowanie płatności), wybrany pakiet, Limit Licencji i okres rozliczeniowy,
      • wynik weryfikacji numeru VAT UE w systemie VIES,
      • zapis akceptacji Regulaminu i Polityki Prywatności przy zakupie (data, godzina, wersje dokumentów),
      • historia płatności i faktur.

   3. Dane związane z kontem Użytkownika:

      • adres e-mail użyty do rejestracji,
      • identyfikator konta,
      • data rejestracji i ostatniego logowania,
      • preferencje konta (język, powiadomienia).

   4. Dane techniczne i analityczne:

      • adres IP,
      • typ i wersja przeglądarki,
      • system operacyjny,
      • daty i godziny dostępu do Platformy,
      • logi systemowe dotyczące bezpieczeństwa i diagnostyki.

   5. Dane subskrybentów newslettera:

      • adres e-mail,
      • imię (jeśli podane),
      • nazwa Placówki (jeśli podana),
      • data dodania do listy subskrybentów,
      • źródło pozyskania (formularz na stronie MonteFlow.cloud lub bezpośrednie przekazanie adresu przez subskrybenta).

2. Cele i podstawy prawne przetwarzania

3. Prawnie uzasadnione interesy

W przypadku przetwarzania opartego na art. 6 ust. 1 lit. f RODO, prawnie uzasadnione interesy ZUBEL.PRO obejmują: bieżącą komunikację z klientami niezbędną do realizacji umowy, zapewnienie bezpieczeństwa i ciągłości działania Platformy, zapobieganie oszustwom płatniczym, wykazanie zawarcia umowy oraz dochodzenie lub obronę roszczeń. Osoby, których dane dotyczą, mają prawo wniesienia sprzeciwu wobec takiego przetwarzania (zob. § 6).

§ 4. ZUBEL.PRO jako podmiot przetwarzający (procesor)

1. Dane powierzone przez Placówki

   Placówki korzystające z Platformy wprowadzają do niej dane osobowe dzieci (wychowanków/uczniów), rodziców i opiekunów prawnych oraz nauczycieli i personelu. Administratorem tych danych jest Placówka, nie ZUBEL.PRO.

   ZUBEL.PRO przetwarza te dane wyłącznie na udokumentowane polecenie Placówki, na podstawie Umowy Powierzenia Przetwarzania Danych Osobowych (DPA) zawartej z każdą Placówką.

2. Zakres danych powierzonych

   Szczegółowy zakres danych powierzonych określa DPA zawarta z Placówką. Dane te mogą obejmować w szczególności:

   • dane identyfikacyjne dzieci (imię, nazwisko, data urodzenia),
   • wizerunek dzieci (zdjęcia),
   • obserwacje pedagogiczne i dane o postępach,
   • informacje o obecności,
   • dane dotyczące zdrowia — alergeny, stany zdrowotne, notatki zdrowotne (do 2000 znaków), oznaczenie specjalnych potrzeb edukacyjnych (SEN) oraz dokumenty wrażliwe SEN (pliki) — stanowiące dane szczególnych kategorii w rozumieniu art. 9 RODO; ich wprowadzanie do Platformy wymaga uprzedniej rejestracji zgody zdrowotnej rodzica/opiekuna,
   • dane kontaktowe rodziców/opiekunów (imię, nazwisko, e-mail, telefon),
   • dane nauczycieli (imię, nazwisko, e-mail, rola w Placówce).

3. Zasady przetwarzania danych powierzonych

   1. ZUBEL.PRO przetwarza dane powierzone wyłącznie w celu świadczenia Usługi na rzecz Placówki i zgodnie z jej poleceniami.
   2. ZUBEL.PRO nie wykorzystuje danych powierzonych do własnych celów, w szczególności nie wykorzystuje ich do profilowania, analityki, marketingu ani sztucznej inteligencji.
   3. Wszelkie żądania dotyczące danych powierzonych (dostęp, sprostowanie, usunięcie, przenoszenie) należy kierować bezpośrednio do Placówki, która jest ich administratorem. ZUBEL.PRO wspiera Placówkę w realizacji tych żądań w zakresie określonym w DPA.

4. Dane powierzone po zakończeniu umowy z Placówką

   Po zakończeniu umowy z Placówką i upływie okresu dostępu tylko do odczytu dane powierzone są usuwane zgodnie z § 9 DPA. Po usunięciu ZUBEL.PRO zachowuje wyłącznie:

   • dla Placówek korzystających z Trybu Zgodność PL — archiwum pełnego eksportu danych przez 90 dni, wyłącznie w celu jego zwrotu Placówce, po czym archiwum jest automatycznie usuwane; dla pozostałych Placówek archiwum nie jest sporządzane,
   • rejestr zdarzeń systemowych (audyt) — do upływu okresu przechowywania wpisów; wpisy dokumentujące nadanie uprawnień, usunięcie danych oraz rejestrację zgody zdrowotnej — przez 10 lat,
   • kopie zapasowe — do czasu ich wygaśnięcia, nie dłużej niż 90 dni od usunięcia danych,
   • dane rozliczeniowe Placówki, przetwarzane przez ZUBEL.PRO jako administratora zgodnie z § 3.

   Konta osób należących wyłącznie do tej Placówki są usuwane. Osoby, które należą również do innej Placówki korzystającej z Platformy, zachowują konto i tracą dostęp do danych Placówki, której umowa się zakończyła.

5. Kontakt w sprawie danych powierzonych

   Jeżeli jesteś rodzicem, opiekunem prawnym, nauczycielem lub inną osobą, której dane zostały wprowadzone do Platformy przez Placówkę, i chcesz skorzystać ze swoich praw wynikających z RODO, prosimy o kontakt z Placówką, która jest administratorem Twoich danych. Placówka jest zobowiązana do udzielenia odpowiedzi na Twoje żądanie. W razie trudności z uzyskaniem odpowiedzi od Placówki możesz również skontaktować się z nami pod adresem privacy@monteflow.cloud — przekażemy Twoje żądanie Placówce.

§ 5. Odbiorcy danych

1. Odbiorcy danych, których ZUBEL.PRO jest administratorem

   ZUBEL.PRO może udostępniać dane osobowe, których jest administratorem, następującym kategoriom odbiorców:

   • Amazon Web Services EMEA SARL (Luksemburg — UE) — dostawca infrastruktury chmurowej; dla użytkowników z UE stroną umowy i podmiotem przetwarzającym jest ten podmiot z siedzibą w UE. Dane przechowywane na serwerach w UE (Sztokholm, Mediolan). Ewentualny dostęp Amazon Web Services, Inc. (USA) jako podmiotu z grupy objęty jest ramami EU-US Data Privacy Framework.
   • Slack Technologies (Salesforce) — platforma komunikacyjna wykorzystywana do bieżącej komunikacji z przedstawicielami Placówek (§ 3 ust. 6 Umowy). Przetwarzane dane: imię, nazwisko (lub pseudonim) oraz adres e-mail osoby wskazanej przez Placówkę. Dane przetwarzane na podstawie art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — bieżąca komunikacja z klientem). Slack Inc. z siedzibą w USA objęty ramami EU-US Data Privacy Framework.
   • Apple Distribution International Ltd (Cork, Irlandia — UE) — dostawca hostingu poczty e-mail dla firmowych skrzynek support@monteflow.cloud i privacy@monteflow.cloud (iCloud z własną domeną). Dla użytkowników z UE stroną umowy i podmiotem odpowiedzialnym za przetwarzanie jest ten podmiot z siedzibą w UE. Przetwarzane dane: treść korespondencji oraz dane kontaktowe osób piszących do nas. Ewentualny dostęp Apple Inc. (USA) jako podmiotu z grupy Apple odbywa się na podstawie standardowych klauzul umownych (SCC).
   • MailerLite (MailerLite, UAB) — narzędzie wysyłki i obsługi listy subskrybentów newsletterów produktowych. Przetwarzane dane: adres e-mail, imię, nazwa Placówki (jeśli podana), status subskrypcji. Siedziba: Paupio g. 46, Wilno, Litwa (UE). Przetwarzanie w Europejskim Obszarze Gospodarczym; ewentualne pod-podprocesory w USA objęte ramami EU-US Data Privacy Framework.
   • Stripe Payments Europe, Limited (Dublin, Irlandia — UE) — operator płatności dla zakupów dokonywanych przez stronę internetową: obsługa formularza płatności, płatności cyklicznych, obliczania podatku i weryfikacji numerów VAT oraz Portalu Klienta. Przetwarzane dane: dane rozliczeniowe i dane zakupu, dane metody płatności (pełne dane karty trafiają wyłącznie do Stripe). W zakresie obsługi subskrypcji Stripe działa na zlecenie ZUBEL.PRO, a w zakresie realizacji transakcji płatniczych, zapobiegania oszustwom oraz obowiązków wynikających z przepisów o usługach płatniczych i przeciwdziałaniu praniu pieniędzy — jako niezależny administrator, na podstawie własnej polityki prywatności: https://stripe.com/privacy. Ewentualny dostęp Stripe, Inc. (USA) objęty jest ramami EU-US Data Privacy Framework oraz standardowymi klauzulami umownymi (SCC).
   • inFakt Sp. z o.o. (Kraków, Polska) — system fakturowania: wystawianie faktur i korekt oraz przesyłanie ich do KSeF w imieniu ZUBEL.PRO. Przetwarzane dane: dane niezbędne do wystawienia faktury. Przetwarzanie w Polsce, na podstawie umowy powierzenia przetwarzania.
   • Biuro Rachunkowe Małe Podatki (malepodatki.pl, Polska) — w zakresie danych rozliczeniowych niezbędnych do prowadzenia księgowości i rozliczeń podatkowych, na podstawie odrębnej umowy powierzenia przetwarzania.
   • Krajowy System e-Faktur (KSeF), prowadzony przez ministra właściwego do spraw finansów publicznych — odbiorca wszystkich faktur i korekt wystawianych przez ZUBEL.PRO, w tym faktur dla nabywców zagranicznych, na podstawie art. 6 ust. 1 lit. c RODO w związku z przepisami ustawy o podatku od towarów i usług.
   • System VIES (Komisja Europejska i administracje podatkowe państw członkowskich UE) — w zakresie weryfikacji numeru VAT UE podanego przy zakupie; przekazywany jest numer VAT nabywcy oraz numer VAT ZUBEL.PRO.
   • Organy publiczne — w zakresie wynikającym z obowiązujących przepisów prawa (np. organy podatkowe).

   ZUBEL.PRO nie sprzedaje danych osobowych i nie udostępnia ich podmiotom trzecim w celach marketingowych.

2. Odbiorcy danych powierzonych

   Dane powierzone przez Placówki nie są udostępniane przez ZUBEL.PRO żadnym podmiotom trzecim, z wyjątkiem podprocesorów wskazanych w DPA (w szczególności AWS jako dostawca infrastruktury). Po udostępnieniu aplikacji mobilnej z powiadomieniami push podprocesorami będą również Apple Distribution International Ltd (Cork, Irlandia — UE) w zakresie powiadomień na urządzenia iOS oraz Google Cloud EMEA Limited (Dublin, Irlandia — UE) w zakresie powiadomień na urządzenia Android; treść powiadomień jest minimalizowana i nie zawiera danych dotyczących zdrowia ani innych danych szczególnych kategorii. Lista aktualnych podprocesorów jest dostępna w DPA zawartej z Placówką.

3. Logowanie społecznościowe (Apple, Google)

   Platforma umożliwia opcjonalne logowanie przy użyciu konta Apple lub Google. Wybór tego sposobu logowania jest dobrowolny — alternatywą jest logowanie adresem e-mail i hasłem.

   Korzystając z logowania społecznościowego, uwierzytelniasz się bezpośrednio u wybranego dostawcy przy użyciu własnego konta. Do Platformy trafia wyłącznie potwierdzenie tożsamości wraz z adresem e-mail i imieniem (jeśli udostępnisz je dostawcy). ZUBEL.PRO nie otrzymuje Twojego hasła.

   Apple i Google przetwarzają dane związane z takim logowaniem jako niezależni administratorzy, na podstawie własnych regulaminów i polityk prywatności — nie są podprocesorami ZUBEL.PRO i nie powierzamy im danych przetwarzanych w Platformie. Zasady przetwarzania danych przez tych dostawców określają:

   • Apple: https://www.apple.com/legal/privacy/
   • Google: https://policies.google.com/privacy

§ 6. Prawa osób, których dane dotyczą

1. Prawa wobec danych administrowanych przez ZUBEL.PRO

   Jeżeli ZUBEL.PRO jest administratorem Twoich danych (dane przedstawicieli Placówek, dane kont Użytkowników, dane techniczne), przysługują Ci następujące prawa:

   • Prawo dostępu (art. 15 RODO) — prawo do uzyskania informacji o przetwarzaniu Twoich danych oraz kopii danych.
   • Prawo do sprostowania (art. 16 RODO) — prawo do poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych.
   • Prawo do usunięcia (art. 17 RODO) — prawo do żądania usunięcia danych, z zastrzeżeniem wyjątków przewidzianych w RODO (np. obowiązki podatkowe).
   • Prawo do ograniczenia przetwarzania (art. 18 RODO) — prawo do żądania ograniczenia przetwarzania w określonych przypadkach.
   • Prawo do przenoszenia danych (art. 20 RODO) — prawo do otrzymania danych w ustrukturyzowanym, powszechnie używanym formacie.
   • Prawo do sprzeciwu (art. 21 RODO) — prawo do wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO).
   • Prawo do skargi — prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl).

   W szczególności w odniesieniu do newsletterów produktowych wysyłanych przez MailerLite — przetwarzanie opiera się na art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes), wobec czego przysługuje Ci prawo sprzeciwu (art. 21 RODO) w każdym czasie. Możesz w dowolnej chwili wypisać się z listy subskrybentów, klikając link rezygnacji w każdej wiadomości newslettera lub kontaktując się pod adresem privacy@monteflow.cloud.

2. Prawa wobec danych powierzonych (dane w Platformie)

   Jeżeli Twoje dane zostały wprowadzone do Platformy przez Placówkę (dane dzieci, rodziców, nauczycieli), administratorem tych danych jest Placówka. Wszelkie żądania dotyczące tych danych należy kierować do Placówki. ZUBEL.PRO nie jest uprawniony do samodzielnego rozpatrywania takich żądań.

3. Jak skorzystać z praw

   Żądania dotyczące danych, których administratorem jest ZUBEL.PRO, prosimy kierować na adres: privacy@monteflow.cloud. Odpowiedź zostanie udzielona bez zbędnej zwłoki, nie później niż w terminie 30 dni od otrzymania żądania. W uzasadnionych przypadkach termin ten może zostać przedłużony o kolejne 60 dni, o czym osoba zostanie poinformowana.

§ 7. Międzynarodowe transfery danych

1. Dane powierzone przez Placówki są przechowywane na serwerach AWS zlokalizowanych w Unii Europejskiej (regiony: eu-north-1 — Sztokholm, Szwecja; eu-south-1 — Mediolan, Włochy).
2. Z wyjątkiem Slack Technologies (USA) dostawcy usług wskazani w § 5 (z wyłączeniem KSeF, systemu VIES i organów publicznych) mają siedziby w Unii Europejskiej i są stroną umowy dla użytkowników z UE. Przekazanie danych do Slack Technologies oraz ograniczony dostęp podmiotów z tych samych grup kapitałowych z siedzibą w USA (w szczególności Amazon Web Services, Inc., Apple Inc. i Stripe, Inc.) — jako pod-podprocesorów lub w celach utrzymania infrastruktury i obsługi płatności — objęte są ramami EU-US Data Privacy Framework (decyzja wykonawcza Komisji Europejskiej z dnia 10 lipca 2023 r.), a w przypadku Apple Inc. i Stripe, Inc. dodatkowo standardowymi klauzulami umownymi (SCC).
3. Poza przypadkami wskazanymi w § 5 i w ust. 2 powyżej ZUBEL.PRO nie przekazuje danych osobowych do państw trzecich. W razie konieczności takiego transferu w przyszłości ZUBEL.PRO zapewni odpowiedni poziom ochrony zgodnie z Rozdziałem V RODO i poinformuje o tym w zaktualizowanej Polityce Prywatności.
4. Logowanie społecznościowe (§ 5 ust. 3) nie stanowi transferu danych powierzonych — Apple i Google przetwarzają dane uwierzytelniające jako niezależni administratorzy, na podstawie własnych polityk prywatności.

§ 8. Pliki cookies i technologie śledzące

1. Rodzaje stosowanych plików cookies

2. Czego nie stosujemy

   Platforma nie wykorzystuje:

   • cookies marketingowych ani reklamowych,
   • narzędzi śledzenia zachowań użytkowników (tracking),
   • pikseli śledzących (tracking pixels),
   • narzędzi analitycznych podmiotów trzecich (np. Google Analytics); pliki cookies Stripe wskazane w tabeli powyżej służą wyłącznie obsłudze płatności i zapobieganiu oszustwom,
   • profilowania użytkowników.

3. Zarządzanie cookies

   Użytkownik może zarządzać plikami cookies za pośrednictwem ustawień swojej przeglądarki. Wyłączenie cookies niezbędnych może uniemożliwić korzystanie z Platformy.

§ 9. Bezpieczeństwo danych

ZUBEL.PRO stosuje odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych, w szczególności:

• szyfrowanie danych w tranzycie (TLS 1.2+) i w spoczynku (AES-256),
• kontrolę dostępu opartą na rolach z zasadą minimalnych uprawnień,
• uwierzytelnianie wieloskładnikowe (MFA) dla kont uprzywilejowanych, zgodnie z polityką MFA Platformy,
• izolację danych różnych Placówek na poziomie bazy danych,
• logowanie i monitorowanie dostępów,
• codzienne automatyczne kopie zapasowe, replikowane do drugiego regionu UE (georedundancja),
• regularne przeglądy i aktualizacje zabezpieczeń.

§ 10. Dane dzieci

1. ZUBEL.PRO nie zbiera samodzielnie danych osobowych dzieci. Dane dzieci są wprowadzane do Platformy przez Placówki, które są ich administratorami.
2. Platforma nie jest skierowana bezpośrednio do dzieci i dzieci nie rejestrują się w niej samodzielnie. Konto dla uczestnika zajęć, w tym dziecka, może utworzyć wyłącznie Placówka (w ramach Modułu Role i Uprawnienia), która odpowiada za podstawę prawną jego utworzenia.
3. Wszelkie kwestie dotyczące przetwarzania danych dzieci, w tym uzyskanie wymaganych zgód, leżą po stronie Placówki jako administratora danych.

§ 11. Zautomatyzowane podejmowanie decyzji

Platforma nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na osoby, których dane dotyczą.

§ 12. Zmiany Polityki Prywatności

1. ZUBEL.PRO zastrzega sobie prawo do aktualizacji niniejszej Polityki Prywatności w celu odzwierciedlenia zmian w praktykach przetwarzania danych, zmian prawnych lub zmian w funkcjonalnościach Platformy.
2. O istotnych zmianach Użytkownicy zostaną powiadomieni za pośrednictwem Platformy lub drogą e-mailową z co najmniej 14-dniowym wyprzedzeniem przed wejściem zmian w życie.
3. Korzystanie z Platformy po wejściu zmian w życie oznacza akceptację zaktualizowanej Polityki Prywatności.
4. Każda wersja Polityki Prywatności jest publikowana pod odrębnym, stałym adresem (np. monteflow.cloud/privacy/1.3/); poprzednie wersje pozostają dostępne pod swoimi adresami.

§ 13. Kontakt

W sprawach związanych z ochroną danych osobowych prosimy o kontakt:

ZUBEL.PRO Krystian Zubel
ul. Orzechowa 5, 55-040 Dobkowice
E-mail: privacy@monteflow.cloud

Odpowiedzi udzielamy bez zbędnej zwłoki, nie później niż w terminie 30 dni.