Polityka prywatności serwisu kursów

1. Kto jest administratorem danych

Administratorem Twoich danych osobowych jest Fly4adventure, ul. Kolumba 5, 51-503 Wrocław, NIP 8951792884 (dalej: Administrator).

Ta polityka dotyczy wyłącznie serwisu kursów: zapisu na darmową paczkę i informację o starcie Heńka, darmowego dnia, zakupu kursów i pakietu oraz odzyskiwania dostępu. Nie dotyczy sklepu z przewodnikami TripNow, który ma własną politykę prywatności.

Kontakt w sprawach danych osobowych: [DO UZUPEŁNIENIA PRZEZ WŁAŚCICIELA: adres e-mail do kontaktu w sprawach danych osobowych].

2. Jakie dane zbieramy i skąd je mamy

Zbieramy tylko te dane, które są potrzebne do działania serwisu. Większość podajesz sam; część powstaje przy korzystaniu ze strony albo przychodzi z kasy.

• Adres e-mail: podajesz go w formularzu zapisu, przy zgłoszeniu darmowego dnia, przy odzyskiwaniu dostępu oraz w kasie podczas zakupu. Nie umieszczamy go w adresach stron.
• Dane z zamówienia: z kasy EasyCart otrzymujemy adres e-mail kupującego (i osoby, której przyznano dostęp), imię i nazwisko, jeśli je tam wpisałeś, numer zamówienia, produkt, kwotę, walutę oraz informację o zwrocie. Nie otrzymujemy danych Twojej karty płatniczej.
• Zgody i dowód zgody: informację, na co się zgodziłeś (darmowa paczka, informacja o starcie Heńka, wiadomości marketingowe), czas wyrażenia zgody, Twój adres IP w tej chwili oraz wersję tekstu zgody, który widziałeś. Dowód zgody nie jest nadpisywany przy kolejnych zapisach.
• Darmowy dzień: wybrany kurs oraz początek i koniec Twojego darmowego dostępu. Do blokady „jeden darmowy dzień na adres e-mail” używamy nieodwracalnego skrótu adresu.
• Źródło wejścia (atrybucja): parametry UTM z adresu strony, adres strony, z której przyszedłeś (bez dalszej części adresu), wariant filmu, strona wejścia, czas oraz losowy identyfikator ścieżki, który nie zawiera adresu e-mail. Za Twoją zgodą analityczną także identyfikator kliknięcia reklamy Google (gclid).
• Dane techniczne: adres IP i nagłówki żądania. Adres IP służy do limitów zapytań (zapisujemy jego nieodwracalny skrót) i do dowodu zgody. W dziennikach działania serwisu adres e-mail jest zamaskowany.
• Dane z korzystania z platformy kursów: logowanie i naukę w materiałach obsługuje platforma Easyplayer (Easytools). [DO UZUPEŁNIENIA PRZEZ WŁAŚCICIELA: jakie dane Easytools zbiera w Easyplayerze przy logowaniu i nauce (np. historia logowań, postępy) oraz czy działa jako nasz podmiot przetwarzający, czy jako odrębny administrator].

3. Po co przetwarzamy dane i na jakiej podstawie

Każdy cel ma osobną podstawę prawną z RODO (rozporządzenia 2016/679):

• Dostęp do kursu i obsługa zamówienia: nadanie, odebranie i odzyskanie dostępu, wiadomości o dostępie, zwroty, obsługa darmowego dnia na Twoją prośbę. Podstawa: wykonanie umowy lub działania na Twoje żądanie przed zawarciem umowy (art. 6 ust. 1 lit. b RODO).
• Darmowa paczka i informacja o starcie Heńka: wysyłka paczki skilli i wiadomość o starcie Heńka na adres, który podałeś. Podstawa: Twoja zgoda (art. 6 ust. 1 lit. a RODO).
• Marketing: wiadomości e-mail o kolejnych filmach, kursach i ofertach. Podstawa: Twoja odrębna, dobrowolna zgoda marketingowa (art. 6 ust. 1 lit. a RODO). Bez tej zgody wysyłamy wyłącznie wiadomości dotyczące dostępu.
• Pomiar skuteczności reklam (analityka za zgodą): zapisanie w przeglądarce ciasteczka atrybucji i identyfikatora kliknięcia reklamy Google (gclid). Podstawa: Twoja zgoda analityczna (art. 6 ust. 1 lit. a RODO). Dziś nie przekazujemy gclid do Google Ads.
• Atrybucja ruchu bez ciasteczek: zapamiętanie, z jakiego filmu lub kampanii przyszedłeś, i powiązanie tego z zapisem i zakupem, aby ocenić, które materiały działają. Podstawa: prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO).
• Bezpieczeństwo i zapobieganie nadużyciom: limity zapytań, blokada drugiego darmowego dnia na ten sam adres, alarmy o błędach. Podstawa: prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO).
• Wykazanie zgody oraz obrona roszczeń: przechowanie dowodu zgody i danych zamówienia na wypadek sporu. Podstawa: prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO).
• Rozliczenia: obowiązki podatkowe i rachunkowe w zakresie danych zamówienia. Podstawa: obowiązek prawny (art. 6 ust. 1 lit. c RODO).

Podanie adresu e-mail jest dobrowolne, ale bez niego nie możemy wysłać paczki, nadać dostępu ani zrealizować zamówienia. Zgody marketingowej nie musisz wyrażać, żeby skorzystać z serwisu.

4. Komu przekazujemy dane

Nie sprzedajemy danych. Korzystamy z poniższych podmiotów, które przetwarzają dane na nasze zlecenie albo przekazują nam dane o zamówieniu. Kasa EasyCart obsługuje płatność we własnym zakresie, według własnych zasad.

• Vercel: hosting serwisu i funkcji serwerowych, w których działa zapis, nadawanie dostępu i obsługa zamówień. Dane: dane techniczne żądań (w tym adres IP) oraz dzienniki działania serwisu, w których adres e-mail jest zamaskowany.
• Supabase: baza danych ze zdarzeniami ścieżki (wejście na stronę, zapis, zakup, zwrot) i zamówieniami. Dane: identyfikator zamówienia i produktu, kwota i waluta, losowy identyfikator ścieżki, dane o źródle wejścia (UTM, referrer, wariant filmu, strona wejścia, za zgodą analityczną identyfikator kliknięcia reklamy); bez adresu e-mail.
• Upstash: pamięć operacyjna (Redis): rejestr przyznanych dostępów, zabezpieczenie przed zdublowaniem zdarzeń, limity zapytań i blokada drugiego darmowego dnia na ten sam adres. Dane: adres e-mail przy zgłoszeniu darmowego dnia i przy rejestrze osób, którym nadano dostęp; zabezpieczenia i limity działają na nieodwracalnych skrótach adresu e-mail i adresu IP; losowy identyfikator ścieżki z danymi o źródle wejścia.
• MailerLite: listy mailingowe i wysyłka wiadomości e-mail (darmowa paczka, informacja o starcie Heńka, wiadomości o darmowym dniu, a za Twoją zgodą wiadomości marketingowe). Dane: adres e-mail, imię i nazwisko (jeśli je podałeś w kasie), przynależność do list, a przy zapisie dowód zgody: czas, adres IP i wersja tekstu zgody.
• EasyCart i Easyplayer (Easytools): kasa i platforma kursów: kasa EasyCart przyjmuje zamówienie i płatność, a po zakupie, zwrocie lub wygaśnięciu dostępu przekazuje nam zdarzenie o zamówieniu; platforma kursów Easyplayer obsługuje logowanie, nadaje i odbiera dostęp do materiałów. Dane: adres e-mail kupującego (i osoby z dostępem), imię i nazwisko, numer zamówienia, produkt, kwota, waluta; w platformie kursów także adres e-mail do logowania, informacja o dostępie i dane o korzystaniu z lekcji; dane karty płatniczej obsługuje wyłącznie kasa i do nas nie trafiają.

Płatność w kasie obsługuje operator płatności. [DO UZUPEŁNIENIA PRZEZ WŁAŚCICIELA: nazwa operatora płatności kasy oraz czy jest odrębnym administratorem danych płatniczych].

Dane możemy też ujawnić organom publicznym, jeśli obliguje nas do tego prawo, oraz doradcom prawnym i księgowym w zakresie, w jakim jest to potrzebne.

Przekazywanie danych poza Europejski Obszar Gospodarczy: [DO UZUPEŁNIENIA PRZEZ WŁAŚCICIELA: dla każdego podmiotu z listy wskazać, czy dane trafiają poza EOG, oraz podstawę transferu (np. standardowe klauzule umowne)].

5. Jak długo przechowujemy dane

Dane osobowe (adres e-mail, imię i nazwisko, dowód zgody, dane o źródle wejścia powiązane z Tobą) usuwamy po 12 miesiącach. Liczymy ten okres od: [DO UZUPEŁNIENIA PRZEZ WŁAŚCICIELA: zdarzenia, od którego biegnie 12 miesięcy — zapisu, ostatniego zakupu czy ostatniej aktywności — oraz czy po wycofaniu zgody dane są usuwane od razu].

Wyjątki: dane zamówienia, które muszą pozostać ze względu na przepisy podatkowe i rachunkowe, przechowujemy przez okres wymagany prawem (zwykle 5 lat od końca roku podatkowego). Dane potrzebne do obrony roszczeń przechowujemy do czasu ich przedawnienia, ale nie dłużej niż to konieczne.

Dowód zgody (czas, adres IP, wersję tekstu) przechowujemy tak długo, jak trwa zgoda, żeby móc ją wykazać. Po wycofaniu zgody przechowujemy go jeszcze: [DO UZUPEŁNIENIA PRZEZ WŁAŚCICIELA: jak długo po wycofaniu zgody trzymamy dowód zgody, np. do przedawnienia roszczeń].

Na Twoje żądanie usuniemy dane wcześniej, o ile nie mamy obowiązku ani uzasadnionej podstawy, żeby je zachować (na przykład dane zamówienia potrzebne do rozliczeń).

Techniczne wpisy w pamięci operacyjnej (limity zapytań, zabezpieczenie przed zdublowaniem zdarzeń, kolejki, identyfikator ścieżki) wygasają szybciej, w ciągu minut, godzin lub kilkudziesięciu dni, zależnie od wpisu.

6. Jak chronimy dane

Stosujemy środki techniczne dopasowane do tego, jakie dane zbieramy:

• Brak jawnego e-maila tam, gdzie nie jest potrzebny: adres e-mail nie trafia do adresów stron ani do adresu kasy, a w dziennikach działania jest zamaskowany. Limity zapytań i blokada drugiego darmowego dnia działają na nieodwracalnych skrótach adresu e-mail i IP, a blokada dodatkowo na kluczu znanym tylko nam.
• Weryfikacja zdarzeń z kasy: każde zdarzenie o zamówieniu z kasy sprawdzamy po podpisie kryptograficznym; zdarzenie bez poprawnego podpisu odrzucamy.
• Baza zdarzeń: tabele ze zdarzeniami i zamówieniami są dostępne tylko dla konta serwisowego aplikacji, z włączoną blokadą dostępu na poziomie wierszy; anonimowi użytkownicy nie mają do nich dostępu.
• Ciasteczka: ciasteczka niezbędne do działania są niedostępne dla skryptów strony (HttpOnly), a na połączeniach szyfrowanych mają flagę Secure.
• Ochrona przed nadużyciami: limity zapytań, pułapka na boty w formularzach oraz odrzucanie żądań aktywacji darmowego dnia wysyłanych z obcych stron.

Jeśli dojdzie do naruszenia ochrony danych, które powoduje wysokie ryzyko dla Twoich praw, zawiadomimy Cię o tym oraz Prezesa Urzędu Ochrony Danych Osobowych zgodnie z RODO.

7. Pliki cookie i pamięć przeglądarki

Serwis nie używa reklamowych skryptów osób trzecich. Zapisujemy w Twojej przeglądarce tylko:

• kh_oto: ciasteczko niezbędne do działania oferty: token czasowej oferty po zapisie na paczkę, ważne 24 godziny, niedostępne dla skryptów strony (HttpOnly), bez danych osobowych.
• kursy_dd: ciasteczko niezbędne do pokazania potwierdzenia darmowego dnia: tylko identyfikator kursu i dwie daty, ważne do końca Twojego darmowego dostępu, niedostępne dla skryptów strony (HttpOnly).
• kh_sesja: pamięć karty przeglądarki (sessionStorage): losowy identyfikator ścieżki i parametry UTM z adresu; znika po zamknięciu karty; nie zawiera adresu e-mail.
• kh_atr: ciasteczko atrybucji (pierwszy i ostatni kontakt: UTM, referrer, gclid), ważne 90 dni. Zapisujemy je tylko, jeśli wyrazisz zgodę analityczną.
• kh_zgoda_analityczna: zapis Twojego wyboru w sprawie zgody analitycznej.

Sposób wyrażenia i wycofania zgody analitycznej: przy pierwszej wizycie widzisz baner z przyciskami „Odrzuć” i „Akceptuj”. Dopóki nie klikniesz „Akceptuj”, ciasteczko kh_atr i identyfikator kliknięcia Google (gclid) nie są zapisywane. Decyzję zmienisz w każdej chwili przyciskiem „Ustawienia cookies” na dole strony; wycofanie zgody usuwa ciasteczko kh_atr z Twojej przeglądarki. Zapis Twojego wyboru jest pamiętany przez rok.

8. Profilowanie i decyzje automatyczne

Dzielimy adresy na listy zależnie od tego, na co się zapisałeś albo co kupiłeś (darmowa paczka, informacja o starcie Heńka, marketing, darmowy dzień, zakup). Nie budujemy profili na podstawie Twojego zachowania na stronie, a dane o źródle wejścia służą do statystyk sprzedaży, nie do oceniania Ciebie.

Nie podejmujemy wobec Ciebie decyzji opartych na profilowaniu. Automatyczne są tylko czynności techniczne wynikające z zamówienia, na przykład nadanie dostępu po płatności i odebranie go po zwrocie.

9. Dzieci

Nie weryfikujemy wieku osób, które korzystają z serwisu.

Oferta kursów jest skierowana do: [DO UZUPEŁNIENIA PRZEZ WŁAŚCICIELA: potwierdzić grupę odbiorców — czy tylko osoby pełnoletnie].

Jeśli dowiemy się, że bez wymaganej zgody opiekuna trafiły do nas dane dziecka, usuniemy je.

10. Twoje prawa

Masz prawo do:

• dostępu do swoich danych i uzyskania ich kopii,
• sprostowania danych,
• usunięcia danych („prawo do bycia zapomnianym”),
• ograniczenia przetwarzania,
• przenoszenia danych,
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie,
• wycofania zgody w każdej chwili, bez wpływu na zgodność z prawem przetwarzania sprzed wycofania. Zgodę marketingową wycofasz linkiem w wiadomości albo pisząc do nas,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Aby skorzystać z praw, napisz: [DO UZUPEŁNIENIA PRZEZ WŁAŚCICIELA: adres e-mail do kontaktu w sprawach danych osobowych].

Odpowiemy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Skorzystanie z praw jest bezpłatne.

11. Zmiany polityki

Ta wersja obowiązuje od 27.10.2026. O istotnych zmianach poinformujemy na tej stronie.