Obowiązuje od 10 września 2026. Poprzednia wersja obowiązywała od 18 sierpnia 2026.
W skrócie. Zbieramy tyle, ile potrzeba, żeby prowadzić Twoje konto i kurs: adres e-mail, hasło w postaci zahaszowanej, postęp w lekcjach. Płatność obsługuje Stripe — nie widzimy Twojej karty. Statystyki odwiedzin prowadzimy na własnym serwerze, bez cookies i bez profilowania. Piksel Meta ładuje się tylko za Twoją zgodą i możesz ją wycofać jednym kliknięciem. Danych nie sprzedajemy nikomu.
Administratorem danych osobowych jest ESTAI Arkadiusz Dragun, ul. Dworcowa 6A/52, 14-300 Morąg, NIP 7441059546. Kontakt we wszystkich sprawach dotyczących danych: kontakt@duxo.me, tel. 731 807 820. Wnioski dotyczące danych prosimy składać e-mailem — potrzebujemy ich na piśmie, żeby móc potwierdzić tożsamość wnioskodawcy i udokumentować termin realizacji.
Nie wyznaczyliśmy inspektora ochrony danych — nie mamy takiego obowiązku. Wnioski trafiają bezpośrednio do administratora.
| Kiedy | Dane |
|---|---|
| Rejestracja konta | adres e-mail, hasło zapisane wyłącznie jako nieodwracalny skrót — hasła w postaci jawnej nie przechowujemy i nie mamy do niego dostępu, opcjonalnie nazwa wyświetlana, data założenia konta. |
| Korzystanie z kursów | które lekcje zostały ukończone i kiedy, wyniki quizów, ustawienia konta (motyw, przełączniki powiadomień). |
| Zakup dostępu | status dostępu i data jego wygaśnięcia, identyfikator klienta i sesji płatności nadany przez Stripe, treść i moment złożenia oświadczenia o rozpoczęciu świadczenia (patrz regulamin, pkt 8). Danych karty nie otrzymujemy ani nie przechowujemy. |
| Formularz kontaktowy | imię lub nazwa, adres e-mail, temat, treść wiadomości, a także adres IP i informacja o przeglądarce (do ograniczania nadużyć). |
| Reset hasła | skrót jednorazowego tokenu (samego tokenu nie przechowujemy), adres IP, z którego złożono prośbę, oraz czas ważności i użycia. |
| Dane techniczne | logi serwera i zdarzenia bezpieczeństwa (adres IP, czas, ścieżka zapytania) — powstają automatycznie przy każdym połączeniu. |
Nie zbieramy danych szczególnych kategorii (art. 9 RODO) i prosimy o niepodawanie ich w wiadomościach. Nie wymagamy podania imienia i nazwiska ani adresu do założenia konta.
Danych nie sprzedajemy i nie udostępniamy do celów marketingowych podmiotom trzecim. Nie podejmujemy wobec Użytkowników zautomatyzowanych decyzji wywołujących skutki prawne ani podobnie istotnych, w rozumieniu art. 22 RODO.
| Podmiot | Po co | Uwagi |
|---|---|---|
| OVH SAS | serwer aplikacji i bazy danych, serwer poczty wychodzącej | Francja (EOG). To tu fizycznie leżą wszystkie dane konta i kursu. |
| Stripe Payments Europe, Ltd. | obsługa płatności | Irlandia. Odrębny administrator dla danych płatniczych. Otrzymujemy status płatności i identyfikatory, nie dane karty. polityka Stripe |
| Meta Platforms Ireland Ltd. | piksel reklamowy i pomiar konwersji | Irlandia; możliwy transfer do USA na podstawie decyzji o adekwatności (Data Privacy Framework) i standardowych klauzul umownych. Tylko po Twojej zgodzie. polityka Meta |
| Google Ireland Ltd. / Google LLC | odtwarzacz YouTube osadzony w lekcjach oraz kroje pisma (Google Fonts) | Połączenie powstaje z Twojej przeglądarki. Szczegóły w pkt 6. polityka Google |
Czego tu nie ma, a bywa u innych. Statystyki odwiedzin prowadzimy w Umami zainstalowanym na naszym własnym serwerze, w tej samej infrastrukturze w OVH — nie ma tu zewnętrznego dostawcy analityki, dane nie opuszczają naszej infrastruktury, narzędzie nie zapisuje cookies i nie tworzy profilu pozwalającego śledzić Cię między stronami. Nie korzystamy z Google Analytics ani z żadnego dostawcy usług AI — w Serwisie nie ma funkcji opartych na sztucznej inteligencji.
| Co | Rodzaj | Po co i jak długo |
|---|---|---|
df_refresh | cookie HttpOnly, Secure, SameSite=Lax |
Niezbędne. Utrzymuje zalogowanie. Ważne 30 dni; znika po wylogowaniu i traci ważność po zmianie hasła. Niedostępne dla skryptów strony. |
df_access_token, df_had_session | localStorage | Niezbędne. Krótkotrwały token dostępu (15 min) i znacznik „ta przeglądarka miała sesję”, dzięki któremu nie odpytujemy serwera dla niezalogowanych gości. |
| ustawienie motywu | localStorage | Niezbędne dla wygody. Zapamiętuje jasny/ciemny/systemowy. |
estai-fb-consent | localStorage | Zapis Twojej decyzji o zgodzie na piksel Meta — żeby nie pytać przy każdej wizycie. Przechowywany do czasu wyczyszczenia danych witryny lub zmiany decyzji. |
cookies Meta (_fbp i pokrewne) | cookie podmiotu zewnętrznego | Wyłącznie po zgodzie. Pomiar skuteczności reklam. Okresy przechowywania określa Meta. |
| cookies YouTube | cookie podmiotu zewnętrznego | Powstają dopiero po odtworzeniu filmu; używamy trybu youtube-nocookie, który ogranicza je do niezbędnych. |
Zgoda i jej wycofanie. Przy pierwszej wizycie pokazujemy baner; do czasu decyzji piksel Meta nie jest ładowany — nie jest to zgoda domniemana. Decyzję możesz zmienić w dowolnym momencie: odnośnik „Ustawienia prywatności” w stopce Serwisu otwiera baner ponownie, a poniższy przycisk wycofuje zgodę od razu, także z tej strony:
Wycofanie działa na przyszłość i nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.
Część lekcji zawiera filmy osadzone z serwisu YouTube. Używamy trybu youtube-nocookie.com,
który ogranicza zapisywanie cookies, ale nie eliminuje przekazania danych: przy załadowaniu odtwarzacza
Twoja przeglądarka łączy się z serwerami Google i przekazuje im m.in. Twój adres IP oraz informację o oglądanej stronie.
Jeżeli jesteś w tym czasie zalogowany do konta Google, Google może przypisać tę wizytę do Twojego konta.
Google jest w tym zakresie odrębnym administratorem danych. Podstawą po naszej stronie jest art. 6 ust. 1 lit. b RODO (wideo jest częścią zamówionej treści lekcji). Jeżeli nie chcesz nawiązywać tego połączenia, nie uruchamiaj odtwarzacza — każda lekcja jest kompletna merytorycznie także bez filmu, a pod odtwarzaczem podajemy link do materiału na YouTube.
Podobnie działają kroje pisma pobierane z Google Fonts: przeglądarka pobiera pliki fontów z serwerów Google, przekazując przy tym adres IP.
| Dane | Okres |
|---|---|
| Konto i postęp w kursach | Do usunięcia konta (na Twój wniosek). Konta bez aktywności i bez opłaconego dostępu możemy usunąć po 36 miesiącach, uprzedzając o tym e-mailem z 30-dniowym wyprzedzeniem. |
| Dane rozliczeniowe i dowody księgowe | 5 lat od końca roku podatkowego — obowiązek ustawowy; tych danych nie usuwamy na wniosek. |
| Oświadczenie o rozpoczęciu świadczenia | 6 lat — okres przedawnienia roszczeń. |
| Wiadomości z formularza kontaktowego | 24 miesiące od ostatniej korespondencji. |
| Adres IP zapisany przy wiadomości kontaktowej | 90 dni, po czym jest usuwany; sama wiadomość zostaje. |
| Tokeny resetu hasła | Ważne 60 minut; rekordy zużyte lub wygasłe kasujemy po 7 dniach. |
| Kopie zapasowe | Dane usunięte z bazy znikają z kopii zapasowych najpóźniej po 14 dniach. |
| Logi serwera | Do 30 dni, chyba że dotyczą incydentu bezpieczeństwa — wtedy do jego wyjaśnienia. |
Masz prawo do: dostępu do danych i kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO) oraz wycofania zgody w każdym momencie (dotyczy piksela Meta — patrz pkt 5).
Jak to zrobić — stan faktyczny, bez obiecywania funkcji, których nie ma.
Jeżeli uznasz, że przetwarzamy Twoje dane niezgodnie z prawem, masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).
Podanie adresu e-mail i hasła jest dobrowolne, ale niezbędne do założenia konta — bez nich nie da się prowadzić konta ani udostępnić kursu. Podanie nazwy wyświetlanej jest w pełni dobrowolne. Zgoda na piksel Meta jest dobrowolna i jej brak w żaden sposób nie ogranicza korzystania z Serwisu.
Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, zgodnie z art. 32 RODO. Obejmują one m.in. szyfrowanie transmisji, przechowywanie haseł wyłącznie w postaci nieodwracalnych skrótów, ograniczenie i kontrolę dostępu do danych, zabezpieczenia przed nadużyciami oraz regularne kopie zapasowe z okresowym testem odtworzenia. Zestaw tych środków przeglądamy i aktualizujemy.
Świadomie nie publikujemy tu ich szczegółowej listy — opis konkretnych mechanizmów obronnych ułatwiłby ich omijanie, a prawo nie wymaga jego ujawnienia. Jeżeli potrzebujesz szczegółów (np. jako klient biznesowy zawierający umowę powierzenia), napisz na kontakt@duxo.me — udostępniamy je na uzasadnione żądanie.
Żadne zabezpieczenie nie jest absolutne. W razie naruszenia ochrony danych powodującego wysokie ryzyko dla Twoich praw zawiadomimy Cię bez zbędnej zwłoki, zgodnie z art. 34 RODO, oraz zgłosimy naruszenie organowi nadzorczemu.
Serwis nie jest skierowany do osób poniżej 16. roku życia i nie kierujemy do nich reklam. Osoby poniżej 18. roku życia powinny korzystać z Serwisu za wiedzą opiekuna, a zakupu dokonuje opiekun.
O istotnych zmianach informujemy e-mailem na adres konta oraz w Serwisie, z co najmniej 14-dniowym wyprzedzeniem. Wersję obowiązującą i datę jej wejścia w życie podajemy zawsze na górze tej strony.
Ta polityka opisuje rzeczywisty stan Serwisu na dzień 10 września 2026. Jeżeli zauważysz rozbieżność między jej treścią a działaniem aplikacji, napisz na kontakt@duxo.me — poprawimy to, co się rozjechało.