Polityka Prywatności (Privacy Policy)

1. Informacje ogólne

Niniejsza Polityka Prywatności określa zasady przetwarzania i ochrony danych osobowych przez aplikację Akademia (zwaną dalej „Aplikacją”), działającą w ekosystemie Shopify jako narzędzie do sprzedaży i prowadzenia kursów online bezpośrednio w sklepach internetowych.

Szanujemy prywatność zarówno właścicieli sklepów (Sprzedawców / Merchantów), jak i klientów końcowych (Kursantów). Aplikacja została zaprojektowana w oparciu o zasadę minimalizacji danych (*data minimization*) oraz pełną zgodność z Ogólnym Rozporządzeniem o Ochronie Danych (RODO / GDPR).

2. Jakie dane przetwarzamy i w jakim celu?

A. Dane Sprzedawcy (Właściciela sklepu Shopify):

• Domena sklepu (np. twoj-sklep.myshopify.com) oraz identyfikator konta,
• Adres e-mail i nazwisko właściciela sklepu przekazywane przez autoryzację Shopify OAuth,
• Dane subskrypcyjne i rozliczeniowe przetwarzane wyłącznie za pośrednictwem oficjalnego Shopify Billing API.

B. Dane Kursantów (Klientów sklepu):

• Identyfikator klienta w Shopify (shopifyCustomerId),
• Imię, nazwisko oraz adres e-mail użyte podczas zakupu kursu w sklepie,
• Identyfikator i nazwa zamówienia potwierdzającego zakup dostępu do kursu,
• Postęp w nauce: oznaczenia ukończonych lekcji oraz ostatnia pozycja odtwarzacza wideo,
• Miesięczna telemetria odtworzeń wideo w celu zapobiegania nadużyciom i kontroli limitów.

3. Podmioty przetwarzające (Hosting i dostawcy infrastruktury)

W celu świadczenia usług Aplikacja korzysta ze sprawdzonych, bezpiecznych partnerów technologicznych:

• Shopify Inc. – autoryzacja OAuth, webhooki zamówień, procesowanie płatności subskrypcyjnych.
• Bunny.net (Bunny Stream) – bezpieczny, szyfrowany hosting wideo z izolacją kolekcji per sklep i zabezpieczeniem tokenami HMAC SHA256 (brak możliwości nieautoryzowanego pobrania plików).
• Infrastruktura serwerowa i baza danych – zlokalizowane w centrach danych na terenie Unii Europejskiej (Frankfurt, Niemcy) z pełnym szyfrowaniem połączeń (TLS 1.3).

4. Prawa użytkowników i obowiązkowe procedury RODO (GDPR)

Aplikacja w pełni obsługuje zautomatyzowane webhooki ochrony danych Shopify:

• Prawo do wglądu (customers/data_request): Kursant może zażądać od sprzedawcy kopii swoich danych. Aplikacja rejestruje żądanie i udostępnia Administratorowi sklepu w panelu kompletny eksport zapisanych danych (profil, dostępy, zakupy, zwroty, postępy, historia), który sprzedawca przekazuje osobie uprawnionej w ciągu 30 dni; eksport nie jest publikowany pod publicznym adresem.
• Prawo do bycia zapomnianym (customers/redact): Na żądanie klienta dane kursanta, jego zapisy i historia postępów są bezpowrotnie usuwane z bazy danych.
• Usunięcie danych sklepu (shop/redact): 48 godzin po odinstalowaniu aplikacji ze sklepu wszystkie powiązane dane osobowe kursantów i sesje są trwale usuwane.

5. Szyfrowanie i ochrona danych w spoczynku i w transmisji (Encryption at Rest & in Transit)

Wszystkie dane przesyłane między Shopify, przeglądarką użytkownika a serwerami Aplikacji są w 100% szyfrowane w transmisji za pomocą nowoczesnego protokołu TLS 1.3 / HTTPS. Wszystkie webhooki Shopify podlegają obowiązkowej kryptograficznej weryfikacji sygnatury HMAC SHA256.

Dane przechowywane w bazie danych oraz wolumeny serwerowe podlegają standardowemu szyfrowaniu w spoczynku (Encryption at Rest - AES-256). Tokeny odtwarzacza wideo Bunny Stream są generowane dynamicznie z ograniczonym czasem ważności i podpisem kryptograficznym.

6. Zakaz sprzedaży danych i profilowania (No Sale of Data & Automated Decision-Making)

Aplikacja nigdy nie sprzedaje, nie wypożycza ani nie udostępnia danych osobowych stronom trzecim w celach marketingowych, komercyjnych ani brokerskich (pełna zgodność z CCPA / CPRA).

Aplikacja nie stosuje zautomatyzowanego podejmowania decyzji ani profilowania, które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na klientów. Jedynym zautomatyzowanym działaniem jest techniczne nadanie dostępu do materiałów edukacyjnych w oparciu o opłacone zamówienie.

7. Umowa powierzenia przetwarzania danych (DPA)

Instalując Aplikację w sklepie Shopify, Sprzedawca zawiera z Operatorem Aplikacji Umowę Powierzenia Przetwarzania Danych Osobowych (Data Processing Agreement - DPA), na mocy której Operator przetwarza dane wyłącznie w imieniu i na udokumentowane polecenie Sprzedawcy, w celu realizacji funkcjonalności platformy kursowej.

8. Kontakt w sprawach prywatności

W przypadku pytań dotyczących niniejszej Polityki Prywatności lub chęci realizacji praw związanych z danymi osobowymi, prosimy o kontakt pod adresem: support@akademia-app.com.