Polityka Prywatności

Produkt: Exceptao / paraKSCol / CyberZgodność EDU  ·  Ostatnia aktualizacja: 2026-10-22  ·  Podstawa prawna: RODO (UE) 2016/679

1. Kim jesteśmy i jak się z nami skontaktować

Jesteśmy operatorem platformy zgodności Exceptao i powiązanych marek (paraKSCol, CyberZgodność EDU). Nasze pełne dane rejestrowe są opublikowane pod adresem /legal/imprint.

IOD: Nie powołano. Sprawy ochrony danych prowadzi bezpośrednio Operator pod adresem iod@parakscol.pl.

Działamy w dwóch odrębnych rolach:

1. Jako administrator danych: w odniesieniu do danych osobowych zbieranych bezpośrednio — potencjalnych klientów, kontaktów marketingowych, własnych pracowników i danych z rejestracji kont.
2. Jako podmiot przetwarzający: w odniesieniu do danych osobowych przesyłanych lub generowanych przez naszych Klientów (Dzierżawców) w ramach Usługi — ta relacja jest regulowana Umową Powierzenia Przetwarzania Danych Osobowych (DPA) dostępną pod adresem /legal/dpa.

2. Jakie dane osobowe zbieramy i w jakim celu

2.1 Świadczenie Usługi — dane konta i użytkownika

Podstawa prawna: Umowa (art. 6 ust. 1 lit. b RODO).

Retencja: Dane konta są przechowywane przez czas trwania subskrypcji Dzierżawcy plus 30 dni po rozwiązaniu. Dokumentacja rozliczeniowa: 5 lat (Ustawa o rachunkowości, art. 74).

Rekordy szkoleń z platformy Irenly (tylko paraKSCol). Gdy Operator skonfigurował połączenie platformy z platformą szkoleniową Irenly, codzienne zadanie pobiera z Irenly rekordy ukończenia kursów przez pracowników i zapisuje każdy u Dzierżawcy-szkoły o REGON-ie wskazanym w rekordzie: imię i nazwisko oraz adres e-mail uczestnika, kurs, czas ukończenia, wynik i link do certyfikatu. Obejmuje to także pracowników, którzy nigdy nie logują się do Usługi. Podstawa prawna tego przepływu jest w analizie prawnej.

2.2 Integralność dziennika audytowego

Podstawa prawna: Uzasadniony interes (art. 6 ust. 1 lit. f RODO).

Każdy wiersz dziennika audytowego zawiera: tożsamość aktora (ID użytkownika — nigdy adres e-mail — adres IP, user-agent), wykonaną czynność, podsumowanie stanu przed i po, znacznik czasu i kryptograficzny skrót SHA-256.

Prawo do usunięcia — zastrzeżenie. Po zweryfikowanym żądaniu usunięcia: Rekord użytkownika otrzymuje znacznik (deleted-<uuid>@tombstone.invalid); wiersze audytu odwołują się do użytkownika wyłącznie przez wewnętrzny identyfikator, więc żaden wiersz audytu nie jest zmieniany, a łańcuch skrótów jest zachowany z samej konstrukcji. Adres IP i user agent aktora nie są pseudonimizowane i są przechowywane przez cały okres istnienia konta Dzierżawcy. Wiersze dziennika audytu zapisane przed wdrożeniem produkcyjnym z 2026-10-12 mogą ponadto zawierać w samym wierszu adresy e-mail: przy czynnościach wymienionych w dokumencie Bezpieczeństwo (sekcja 5.5) — użytkownika wykonującego lub objętego czynnością, odbiorcy powiadomienia lub osoby kontaktowej Dzierżawcy albo identyfikator wpisany w formularzu logowania lub resetu hasła — a przy dowolnej czynności w tekście swobodnym, np. w komunikacie błędu lub w tekście wpisanym przez użytkownika. Pozostają one przez cały okres istnienia konta Dzierżawcy (w łańcuchu warstwy sterującej platformy — przez cały okres istnienia platformy), na tej samej podstawie prawnej co adres IP aktora: uzasadniony interes w zakresie integralności audytu (art. 6 ust. 1 lit. f RODO). Od wdrożenia produkcyjnego z 2026-10-12 w treści ani w polu obiektu docelowego wiersza audytu nie jest zapisywany żaden tekst w postaci adresu e-mail: użytkownicy są identyfikowani wewnętrznym identyfikatorem, a każdy inny adres — także w tekście swobodnym — skrótem kluczowanym (HMAC), z którego adresu nie da się odczytać. Do poprawki z 2026-10-13 obowiązywał jeden wyjątek: gdy adresy lub domeny były połączone znakiem @ bez niczego pomiędzy (x@a.com@b.org), w wierszu zostawał skrót, po nim @ i nazwa domeny — nigdy cały adres. Wiersze zapisane od wdrożenia produkcyjnego z 2026-10-12 do wdrożenia tej poprawki mogą zawierać taki fragment; są przechowywane na tej samej podstawie i ujawniane, a nie usuwane. Drugą lukę usunęła poprawka z 2026-10-14: adres zawierający łączące znaki diakrytyczne — literę z akcentem zapisaną jako litera podstawowa i osobny znak (Unicode NFD, powstający w niektórych systemach i przy kopiowaniu z niektórych dokumentów) albo pismo, w którym samogłoski zapisuje się takimi znakami, np. dewanagari lub tajskie, albo niewidoczny łącznik (ZWNJ/ZWJ) używany w nazwach perskich i indyjskich — nie był rozpoznawany i był zapisywany tak, jak go wpisano, w całości lub w części. Wiersze zapisane przed wdrożeniem tej poprawki mogą zawierać taki adres jawnym tekstem; są przechowywane na tej samej podstawie i ujawniane, a nie usuwane. Taki skrót jest pseudonimem i pozostaje daną osobową: każdy, kto może spowodować zapisanie przez platformę wybranego adresu, albo kto posiada klucz, może potwierdzić odgadnięty adres. Inne dane osobowe wpisane w pola tekstowe, np. imię i nazwisko lub numer telefonu, są zapisywane tak, jak je wpisano. Nie obejmuje to ciągu user-agent sesji wykonującej czynność: jest on zapisywany tak, jak go przesłał klient, a niektórzy klienci, zwłaszcza roboty indeksujące, umieszczają w nim adres kontaktowy. Jednocześnie usuwane są rekordy ograniczania prób logowania zapisane pod adresem e-mail konta (identyfikator, adres IP i user-agent jego logowań i nieudanych prób logowania); rekordy konta usuniętego wcześniej są usuwane, gdy mają 30 dni.

Retencja: cały okres istnienia konta Dzierżawcy. Rekordy audytu działają w trybie tylko-do-dopisu i są zabezpieczone łańcuchem skrótów, więc nie są usuwane w oknie kroczącym.

2.3 Bezpieczeństwo i zapobieganie nadużyciom

Podstawa prawna: Uzasadniony interes (art. 6 ust. 1 lit. f RODO). Retencja: cały okres istnienia konta Dzierżawcy — rekordy te korzystają z magazynu audytowego tylko-do-dopisu i nie są usuwane w oknie kroczącym. Wyjątkiem są rekordy ograniczania prób logowania: są przechowywane poza magazynem audytowym, a identyfikator podany przy logowaniu (zwykle adres e-mail), adres IP (dla klienta IPv6 adres sieci /64, nie dokładny adres) i user-agent każdego logowania i każdej nieudanej próby są usuwane 30 dni po próbie (codzienne usuwanie); rekordy konta są usuwane także przy usunięciu konta.

2.4 Komunikacja e-mail

Podstawa prawna: Umowa (powiadomienia o przepływach pracy); uzasadniony interes (ogłoszenia usługowe); zgoda (art. 6 ust. 1 lit. a — komunikacja marketingowa, wycofanie możliwe w dowolnym momencie). Platforma nie przechowuje kopii wysłanych wiadomości e-mail (nie istnieje tabela powiadomień); wiele wysyłek jest odnotowywanych w dzienniku audytu identyfikatorem użytkownika odbiorcy albo, dla adresu bez konta, kluczowanym odnośnikiem pseudonimowym (HMAC), nigdy adresem ani treścią; Microsoft jako dostawca poczty prowadzi własne logi dostarczania na własnych warunkach. Rekordy zgody marketingowej: do wycofania + 3 lata.

2.5 Potencjalni klienci

Podstawa prawna: Uzasadniony interes (art. 6 ust. 1 lit. f RODO).

Retencja: 24 miesiące od ostatniego kontaktu. Wyślemy prośbę o ponowne potwierdzenie po 18 miesiącach.

3. Jak długo przechowujemy dane

4. Kto ma dostęp do Twoich danych

4.1 Pracownicy Operatora

Dostęp do systemów produkcyjnych mają wyłącznie pracownicy z udokumentowaną, specyficzną dla roli potrzebą biznesową. Każdy taki dostęp wymaga MFA i jest rejestrowany w dzienniku audytowym.

4.2 Podmioty przetwarzające (subprocesory)

Pełna lista ze szczegółowymi informacjami per podmiot jest opublikowana pod adresem /legal/subprocessors. Powiadomimy Dzierżawców co najmniej 30 dni przed dodaniem lub zastąpieniem podmiotu przetwarzającego.

HashiCorp Vault jest hostowany samodzielnie na naszym własnym VPS (region EU) i nie jest podmiotem przetwarzającym będącym osobą trzecią.

4.3 Ujawnienie na żądanie prawne

Możemy ujawnić dane osobowe, jeżeli jest to wymagane przez nakaz sądu lub obowiązek prawny. Ujawnienie ograniczymy do minimum wymaganego przez prawo.

5. Przekazywanie danych do państw trzecich

Dane biznesowe klientów są przechowywane w regionie wybranym przy tworzeniu konta Dzierżawcy:

• Region PL (OVHcloud, Warszawa): Dzierżawcy paraKSCol i CyberZgodność EDU — dane są przechowywane w UE; produkcja działa w Polsce, a kwartalny test odtworzenia odbywa się w Austrii (UE).
• Region EU — OVHcloud Warszawa (Polska): wszyscy Dzierżawcy — dane biznesowe są przechowywane w UE.

W przypadku gdy podmioty przetwarzające są zlokalizowane poza UE/EOG, zapewniamy odpowiednie zabezpieczenia na podstawie Rozdziału V RODO, w tym Standardowe Klauzule Umowne (SCK).

6. Twoje prawa wynikające z RODO

Aby skorzystać z któregokolwiek z praw, napisz na adres iod@parakscol.pl. Odpowiemy w ciągu 30 dni kalendarzowych.

Masz prawo wnieść skargę do Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl, e-mail: kancelaria@uodo.gov.pl.

7. Jak chronimy Twoje dane

Pełny opis techniczny jest opublikowany pod adresem /legal/security.

8. Zautomatyzowane podejmowanie decyzji i profilowanie

Nie prowadzimy zautomatyzowanego podejmowania decyzji ani profilowania w rozumieniu art. 22 RODO, które wywołują skutki prawne lub inne podobnie istotne skutki.

9. Pliki cookie i śledzenie

Pełna informacja o plikach cookie jest dostępna pod adresem /legal/cookies. Używamy wyłącznie bezwzględnie koniecznych plików cookie: sessionid i csrftoken. Brak plików cookie śledzenia podmiotów trzecich.

10. Dane dzieci

Usługa nie jest skierowana do osób poniżej 18 roku życia. Nie zbieramy świadomie danych osobowych od dzieci. W przypadku odkrycia takiej sytuacji skontaktuj się z nami pod adresem iod@parakscol.pl.

11. Zmiany niniejszej Polityki Prywatności

Powiadomimy Administratorów Dzierżawców o istotnych zmianach co najmniej 30 dni przed wejściem zmian w życie — drogą e-mailową oraz przez powiadomienie na pulpicie nawigacyjnym Usługi.

12. Kontakt