Polityka prywatności

1. Administrator danych osobowych

Administratorem danych osobowych przetwarzanych w serwisie prawojazdywholandii.nl (dalej: „Serwis", „PJWH") jest Cezi — eenmanszaak (jednoosobowa działalność, prawo holenderskie), z siedzibą pod adresem Valeriusstraat 73, 3122AM Schiedam, Nederland, KvK: 71521143, BTW (VAT): NL002519377B12 (dalej: „Administrator").

Kontakt w sprawach dotyczących danych osobowych: kontakt@prawojazdywholandii.nl. W sprawach pilnych RODO można też skorzystać z drogi listownej na adres siedziby.

2. Jakie dane przetwarzamy

W zależności od interakcji z Serwisem przetwarzamy następujące kategorie danych:

• Dane konta: adres e-mail, hasło (zaszyfrowane), data utworzenia konta, status (aktywne/zablokowane), wybrany plan.
• Dane nauki: historię sesji nauki, odpowiedzi na pytania (poprawne/błędne), statystyki postępu, listę pytań do powtórki (SRS), długość serii dziennej (streak), poziom (XP), wybrane tryby (random/wrong_only/hardest/smart_mix/review_due).
• Dane preferencji: data planowanego egzaminu CBR (jeśli podana), poziom zaawansowania, język interfejsu (PL/NL), opt-in dla przypomnień email.
• Dane techniczne: adres IP, rodzaj przeglądarki, system operacyjny, czas wizyt, ograniczone logi bezpieczeństwa (rate-limiting, anti-abuse).
• Dane płatnicze: identyfikator transakcji Mollie (`tr_xxx`), wybrany plan (Pass Pack, Pass Pack+, Monthly, Annual), data zakupu, status (paid/refunded). Nie przechowujemy danych karty — pełną obsługę płatności realizuje Mollie B.V. (Holandia, PSD2-certyfikowany).
• Dane komunikacji: jeśli aktywowałeś przypomnienia, przetwarzamy fakt wysyłki maila (kind, timestamp, status) w celu anti-spam (max 1 mail/dzień jednego typu).
• Dane geolokalizacji (uproszczone): kraj i miasto na podstawie adresu IP (MaxMind GeoLite2 offline, bez wysyłki danych do third-party). Wykorzystywane do analityki ruchu, retention 90 dni.

3. Podstawy prawne przetwarzania

Dane są przetwarzane na podstawie:

• Art. 6 ust. 1 lit. b RODO (wykonanie umowy) — utworzenie i utrzymanie konta, nauka, płatność za plan, dostarczanie treści.
• Art. 6 ust. 1 lit. f RODO (uzasadniony interes administratora) — analityka anonimizowana (cele statystyczne), bezpieczeństwo (rate-limiting, anti-abuse), wykrywanie nadużyć.
• Art. 6 ust. 1 lit. a RODO (zgoda) — przypomnienia email (welcome, streak, mock exam, expiry), opt-in cookies analitycznych.
• Art. 6 ust. 1 lit. c RODO (obowiązek prawny) — wystawianie faktur, przechowywanie dokumentów księgowych przez okres wymagany przepisami.

4. Okres przechowywania danych

• Dane konta: przez czas posiadania aktywnego konta i 12 miesięcy po jego usunięciu (chyba że dłużej wymagają tego przepisy).
• Dane nauki: przez czas posiadania konta. Po usunięciu konta — zanonimizowane do celów statystycznych albo usunięte.
• Dane płatnicze: 7 lat zgodnie z wymogami holenderskiego Belastingdienst (Algemene wet inzake rijksbelastingen, art. 52).
• Logi bezpieczeństwa (traffic_logs): 90 dni od utworzenia (GDPR data minimization).
• Dane geolokalizacji: 90 dni.
• Logi email (anti-spam): nieograniczone, ale bez treści — tylko fakt wysłania (timestamp, kind).
• Logi push notifications: 180 dni.
• Logi webhook Mollie: 365 dni (audit trail dla księgowości).

5. Odbiorcy danych

Twoje dane mogą być powierzone następującym podmiotom (procesorom):

• Mollie B.V. (Amsterdam, Holandia) — obsługa płatności online (iDEAL, karty, Klarna, SOFORT). Polityka prywatności Mollie.
• Brevo / Sendinblue SAS (Paryż, Francja) — wysyłka transakcyjnych maili (welcome, retention, expiry). Polityka prywatności Brevo.
• cyber_Folks S.A. (Poznań, Polska) — hosting domeny i serwer aplikacji. Regulamin cyber_Folks.
• MaxMind, Inc. (USA) — baza GeoLite2 do geolokalizacji offline (na serwerze, dane nie są przesyłane do MaxMind).
• Organy państwowe — jeśli wymagają tego przepisy prawa (sąd, prokuratura, urząd skarbowy).

Wszyscy procesorzy z UE/EOG. Transfer do USA (MaxMind) odbywa się wyłącznie poprzez pobranie statycznej bazy danych — bez przekazywania danych użytkowników.

6. Twoje prawa

Na podstawie RODO przysługują Ci następujące prawa:

• Prawo dostępu do swoich danych (art. 15 RODO).
• Prawo sprostowania danych nieprawidłowych (art. 16 RODO).
• Prawo do usunięcia danych („prawo do bycia zapomnianym", art. 17 RODO) — z zastrzeżeniem przepisów wymagających retencji (np. faktury).
• Prawo do ograniczenia przetwarzania (art. 18 RODO).
• Prawo do przenoszenia danych (art. 20 RODO) — eksport historii nauki w JSON na żądanie.
• Prawo sprzeciwu wobec przetwarzania na podstawie uzasadnionego interesu (art. 21 RODO).
• Prawo wycofania zgody w dowolnym momencie (dotyczy email, cookies analitycznych) — bez wpływu na zgodność z prawem przetwarzania, którego dokonano przed wycofaniem.
• Prawo skargi do organu nadzorczego:
  • Polska: Prezes UODO, uodo.gov.pl
  • Holandia: Autoriteit Persoonsgegevens (AP), autoriteitpersoonsgegevens.nl

Aby skorzystać z praw, napisz na kontakt@prawojazdywholandii.nl z konta zarejestrowanego w Serwisie. Odpowiadamy w terminie do 30 dni (zgodnie z RODO).

7. Pliki cookies i local storage

Serwis używa plików cookies oraz local storage przeglądarki. Szczegółowy wykaz cookies, ich celów i okresów przechowywania znajduje się w polityce cookies.

8. Bezpieczeństwo

• Hasła użytkowników są zaszyfrowane funkcją hashującą Argon2 (state-of-the-art 2026).
• Połączenia z Serwisem szyfrowane TLS 1.3 (certyfikat Let's Encrypt z auto-renew).
• Webhook Mollie zabezpieczony przez idempotentność + re-fetch payment z API (body untrusted).
• Logi nie zawierają haseł, kart, kluczy API (Sentry redaction whitelist 17 pól sensitive).
• Rate limiting na endpointach finansowych i auth.
• Backup bazy danych: codziennie, retention 30 dni.

9. Zmiany polityki

Zastrzegamy prawo do zmiany niniejszej polityki w przypadku zmian w przepisach, technologii lub usługach. Każda istotna zmiana zostanie ogłoszona w Serwisie oraz mailowo do zarejestrowanych użytkowników z co najmniej 14-dniowym wyprzedzeniem przed wejściem w życie.

10. Kontakt

Inspektor Ochrony Danych (DPO) nie został wyznaczony — przetwarzanie nie wymaga obligatoryjnego DPO na podstawie art. 37 RODO. Wszystkie zapytania kierować na: kontakt@prawojazdywholandii.nl.