POLITYKA PRYWATNOŚCI ENGLISH BOSS

Wersja 1.1 — obowiązuje od 28 sierpnia 2026 r.

1. Administrator danych

1. Administratorem danych osobowych związanych z korzystaniem z platformy English Boss jest English Boss sp. z o.o. z siedzibą w Lubinie, ul. Leśna 6, 59-300 Lubin, Polska, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla Wrocławia-Fabrycznej we Wrocławiu, IX Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0001255897, NIP 6922551332, REGON 545303939, kapitał zakładowy 10 000,00 zł.

2. Kontakt w sprawach prywatności i realizacji praw: support@englishboss.org. Kontakt ogólny: support@englishboss.org, telefon +48 693 989 839.

3. Niniejsza Polityka dotyczy danych przetwarzanych przez English Boss w związku z kontem, nauką, bezpieczeństwem i obsługą platformy. Dane transakcyjne przetwarzane przez Paddle jako Merchant of Record podlegają również polityce prywatności Paddle.

2. Jakie dane możemy przetwarzać

W zależności od sposobu korzystania z platformy możemy przetwarzać w szczególności:

1. Dane konta i uwierzytelniania: adres e-mail, identyfikatory użytkownika, hash hasła i informacje o sposobie logowania, role, status konta, daty weryfikacji i logowania, informacje o MFA i bezpieczeństwie konta.

2. Dane profilu: nazwa wyświetlana, imię, nazwisko, data urodzenia, kraj, strefa czasowa, ustawienia językowe/locale, avatar, preferowany poziom egzaminacyjny, opcjonalne bio — przy czym część tych pól jest opcjonalna i może pozostać niewypełniona.

3. Dane techniczne i bezpieczeństwa: adres IP, User-Agent, informacje o urządzeniu, sesjach, udanych i nieudanych logowaniach, resetach hasła, blokadach i zdarzeniach bezpieczeństwa. Rejestrujemy także rodzaj, wersję, język i sumę kontrolną zaakceptowanego dokumentu prawnego oraz datę, godzinę i kanał akceptacji. W niektórych logach wartości mogą być przechowywane w postaci zahashowanej.

4. Dane edukacyjne: rozpoczęte i ukończone lekcje, próby zadań, odpowiedzi, poprawność, punkty i wyniki, czas pracy, liczba prób, zmiany odpowiedzi, podpowiedzi, odtworzenia audio, otwarcie transkrypcji, Smart Revision, słownictwo, wyszukiwania w słowniku, notatki, XP, streaki, osiągnięcia, statystyki, wyniki według umiejętności, wyniki egzaminów i diagnostyki oraz skonfigurowane plany nauki.

5. Writing: treść odpowiedzi tekstowej lub strukturalnej, powiązanie z zadaniem i użytkownikiem, czas, wynik, status, self-assessment oraz — jeśli dotyczy — feedback nauczyciela.

6. Dane płatnicze i subskrypcyjne: English Boss może otrzymywać od Paddle dane niezbędne do rozpoznania statusu zakupu/subskrypcji, np. identyfikator klienta/transakcji, produkt, status płatności lub subskrypcji. Pełne dane instrumentu płatniczego są obsługiwane przez Paddle i jego dostawców płatności, a nie przez English Boss.

3. Speaking i nagrania głosu

1. Obecna wersja English Boss nie nagrywa, nie przesyła i nie przechowuje głosu użytkownika w zadaniach Speaking.

2. Speaking opiera się obecnie przede wszystkim na self-assessment. Materiały audio będące treścią kursu są przechowywane przez English Boss, ale nie są nagraniami użytkowników.

3. Jeżeli w przyszłości zostanie uruchomione rozpoznawanie mowy lub zapisywanie nagrań, Polityka zostanie zaktualizowana przed rozpoczęciem takiego przetwarzania.

4. Sztuczna inteligencja

1. Obecnie English Boss nie przekazuje odpowiedzi Writing, nagrań Speaking ani profilu użytkownika do zewnętrznego modelu AI w celu automatycznej oceny.

2. Infrastruktura techniczna może być przygotowana pod przyszłe funkcje AI, ale samo przygotowanie schematu nie oznacza aktywnego przekazywania danych.

3. Przed uruchomieniem funkcji AI wymagających przesyłania danych do zewnętrznego dostawcy English Boss zaktualizuje informacje o celu, podstawie prawnej, dostawcy, transferach i retencji.

5. Cele i podstawy prawne

Dane mogą być przetwarzane w następujących celach:

1. Założenie i obsługa konta, świadczenie usług, prowadzenie historii nauki, umożliwienie korzystania z funkcji kursu i realizacja zakupionego dostępu — w zakresie niezbędnym do wykonania umowy lub podjęcia działań na żądanie użytkownika przed jej zawarciem.

2. Obsługa płatnego dostępu, synchronizacja statusu transakcji i subskrypcji z Paddle — wykonanie umowy oraz prawnie uzasadniony interes polegający na prawidłowej obsłudze dostępu.

3. Bezpieczeństwo, zapobieganie oszustwom, nadużyciom i atakom, zarządzanie sesjami, ochrona kont oraz dochodzenie lub obrona roszczeń — prawnie uzasadniony interes English Boss.

4. Wypełnianie obowiązków prawnych, podatkowych, księgowych lub związanych z żądaniami organów — obowiązek prawny.

5. Opcjonalne działania wymagające zgody, np. przyszły marketing elektroniczny lub analityka niekonieczna — wyłącznie po uzyskaniu ważnej zgody tam, gdzie jest ona wymagana.

6. Rozwój i poprawa produktu — w zakresie opartym na prawnie uzasadnionym interesie, z uwzględnieniem minimalizacji danych i praw użytkowników; dane wykorzystywane do analiz technicznych powinny być w miarę możliwości agregowane lub pseudonimizowane.

6. Profil edukacyjny i automatyzacja

1. English Boss tworzy profil edukacyjny oparty na aktywności użytkownika, np. wynikach, postępach, błędach, powtórkach i użyciu funkcji platformy, aby dostarczać funkcje nauki i personalizacji.

2. Obecnie nie stosujemy zewnętrznego AI do podejmowania wobec użytkownika decyzji wywołujących skutki prawne lub podobnie istotne skutki.

3. Automatyczne sprawdzanie części zadań i generowanie wyników edukacyjnych służy realizacji funkcji kursu.

7. Odbiorcy danych

1. Głównym dostawcą infrastruktury jest Microsoft Azure / Microsoft. Zasadnicza infrastruktura produkcyjna English Boss znajduje się w regionie Poland Central (Polska) i obejmuje m.in. aplikację, bazę MySQL, Blob Storage, Redis, Key Vault i monitoring.

2. Po uruchomieniu płatności produkcyjnych Paddle otrzymuje dane potrzebne do realizacji transakcji, płatności, podatków, dokumentów sprzedażowych i obsługi subskrypcji jako Merchant of Record. W zakresie własnych celów transakcyjnych Paddle przetwarza dane zgodnie z własną polityką prywatności i może działać jako odrębny administrator danych.

3. Cyber_Folks S.A. może przetwarzać adres odbiorcy i treść wiadomości transakcyjnej jako dostawca uwierzytelnionej poczty SMTP/hostingu e-mail używanego do wysyłki weryfikacji konta, resetu hasła i innych wiadomości usługowych. Dane mogą być także ujawniane profesjonalnym doradcom, dostawcom wsparcia technicznego lub organom publicznym tylko wtedy, gdy jest to potrzebne i istnieje odpowiednia podstawa prawna.

4. English Boss nie sprzedaje danych osobowych użytkowników reklamodawcom i obecnie nie wykorzystuje danych dzieci do reklamy behawioralnej.

8. Lokalizacja danych i transfery międzynarodowe

1. Główna aplikacja, baza danych, pliki i cache produkcyjny są obecnie hostowane w Microsoft Azure, region Poland Central, Polska.

2. Niektórzy globalni dostawcy usług, w tym dostawcy płatności lub infrastruktury, mogą w ramach swojej organizacji lub łańcucha podwykonawców przetwarzać dane poza Europejskim Obszarem Gospodarczym. Jeżeli ma zastosowanie transfer do państwa trzeciego, stosujemy lub wymagamy stosowania odpowiedniej podstawy transferu przewidzianej przez RODO, np. decyzji stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych, gdy jest to wymagane.

9. Jak długo przechowujemy dane

1. Dane konta i historia nauki są co do zasady przechowywane przez okres aktywności konta i tak długo po jego zakończeniu, jak jest to niezbędne do rozliczeń, obsługi reklamacji, bezpieczeństwa, obrony roszczeń albo wykonania obowiązków prawnych.

2. Odpowiedzi Writing są częścią historii nauki i pozostają powiązane z kontem do czasu ich usunięcia lub anonimizacji zgodnie z procedurą usunięcia konta albo inną właściwą regułą retencji.

3. Logi bezpieczeństwa są przechowywane przez okres uzasadniony ochroną kont, wykrywaniem nadużyć, analizą incydentów i dochodzeniem roszczeń. Okres może się różnić zależnie od rodzaju logu.

4. Kopie zapasowe bazy MySQL są obecnie przechowywane przez Azure przez okres do 14 dni. Dane usunięte z aktywnej bazy mogą zatem pozostawać w historycznym backupie do czasu jego automatycznego wygaśnięcia; kopie backupowe nie są przeznaczone do bieżącego używania usuniętego konta.

5. Dane, które muszą być przechowywane z uwagi na obowiązki prawne, przechowujemy przez wymagany prawem okres.

10. Usunięcie konta

1. Użytkownik może zażądać usunięcia danych lub konta, kontaktując się z nami pod adresem support@englishboss.org.

2. Żądania są realizowane bez zbędnej zwłoki zgodnie z RODO i z uwzględnieniem sytuacji, w których część danych musi być zachowana z powodu obowiązku prawnego lub obrony roszczeń.

3. Nie deklarujemy obecnie sztywnego 7-dniowego terminu pełnego fizycznego usunięcia ze wszystkich systemów. Pozostałości danych mogą istnieć w kopiach zapasowych do zakończenia ich cyklu retencji, obecnie do 14 dni dla backupu MySQL.

11. Prawa użytkownika

W zakresie przewidzianym przez RODO użytkownik może żądać:

1. dostępu do danych i kopii danych;

2. sprostowania danych;

3. usunięcia danych;

4. ograniczenia przetwarzania;

5. przenoszenia danych;

6. wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie;

7. wycofania zgody w dowolnym momencie, jeżeli przetwarzanie opiera się na zgodzie;

8. wniesienia skargi do właściwego organu nadzorczego, w Polsce do Prezesa Urzędu Ochrony Danych Osobowych.

12. Dzieci

1. English Boss może być używany przez osoby małoletnie w modelu rodzinnym lub szkolnym, ale zakup i zgody wymagane prawem powinny być dokonywane lub autoryzowane przez rodzica, opiekuna albo inną uprawnioną osobę.

2. Jeżeli w Polsce przetwarzanie danych osoby poniżej 16 roku życia w ramach usługi społeczeństwa informacyjnego opiera się na zgodzie, zgoda musi zostać udzielona lub zaakceptowana przez osobę sprawującą władzę rodzicielską lub opiekę, zgodnie z właściwymi przepisami.

3. Nie wykorzystujemy danych dzieci do reklamy behawioralnej.

13. Bezpieczeństwo

1. Hasła nie są przechowywane jawnie; przechowujemy ich hashe i informacje potrzebne do bezpiecznego uwierzytelniania.

2. Produkcyjna baza danych i Blob Storage działają z wyłączonym publicznym dostępem do warstwy danych i wykorzystują prywatne punkty końcowe w Azure.

3. Stosujemy mechanizmy sesji, logowania zdarzeń bezpieczeństwa, kontroli dostępu oraz inne środki adekwatne do ryzyka.

4. Żaden system nie może zagwarantować absolutnego bezpieczeństwa, dlatego zabezpieczenia są okresowo rozwijane i aktualizowane.

14. Cookies i technologie podobne

Szczegółowe informacje znajdują się w odrębnej „Polityce cookies”. Obecnie English Boss nie ma potwierdzonych aktywnych trackerów marketingowych takich jak Google Analytics/Ads, Meta Pixel, TikTok Pixel, Microsoft Clarity czy Hotjar. Jeżeli zostaną uruchomione, wymagane informacje i mechanizm zgody zostaną wdrożone przed ich aktywacją, o ile prawo wymaga zgody.

15. Zmiany Polityki

Polityka może być aktualizowana m.in. w związku ze zmianami funkcjonalności, dostawców, prawa, metod płatności lub sposobu przetwarzania danych. Aktualna wersja będzie publikowana na stronie wraz z datą aktualizacji.

Data wejścia w życie: 28 sierpnia 2026 r.