Polityka prywatności

1. Administrator danych

Administratorem danych osobowych przetwarzanych w serwisie Smart Extranet (dalej „Serwis") jest:

FUNDACJA STERNIK-WARSZAWA ZACHÓD ul. Staszica 1, 05-800 Pruszków, Polska KRS: 0000396442 · NIP: 5342483079 · REGON: 145877890

(dalej „Administrator" lub „Fundacja").

We wszystkich sprawach dotyczących ochrony danych osobowych (w tym realizacji praw, o których mowa w pkt 11) można kontaktować się z Administratorem:

e-mail: fundacja.warszawa-zachod@sternikpruszkow.edu.pl
telefon: +48 509 000 082
adres: ul. Staszica 1, 05-800 Pruszków, Polska

2. Czego dotyczy ta Polityka

Serwis to dziennik elektroniczny działający w trybie tylko do odczytu: prezentuje dane edukacyjne pobierane z dotychczasowego systemu szkoły (dalej „Extranet źródłowy") i zapisuje wyłącznie dane niezbędne do własnego działania we własnej bazie danych. Polityka opisuje, jakie dane, w jakim celu i na jakiej podstawie przetwarzamy oraz jakie prawa przysługują osobom, których dane dotyczą.

3. Kategorie osób i danych

Serwis przetwarza dane następujących kategorii osób:

Rodzice/opiekunowie (użytkownicy konta opiekuna),
Uczniowie (użytkownicy konta ucznia oraz dzieci, których dane są wyświetlane opiekunom).

Przetwarzane kategorie danych obejmują:

Kategoria	Przykładowe dane
Dane identyfikacyjne i kontaktowe	imię, nazwisko, login, powiązania rodzic–dziecko
Dane uczniów	klasa/szkoła, oceny, sygnały (pochwały/uwagi), punkty za zachowanie, frekwencja, zapisy na zajęcia dodatkowe, konkursy, projekty i wycieczki (na które uczeń się osobno zapisał — wraz z pogrupowaniem wg kategorii oraz szczegółami zapisu: terminy, sala, cennik i opis; używane m.in. do oznaczenia takich przedmiotów we frekwencji), sprawdziany i zadania, plan lekcji, wyniki egzaminów próbnych (matury próbne i próbny egzamin ósmoklasisty), jadłospis (menu posiłków na dany tydzień w placówce ucznia oraz informacja, czy placówka prowadzi obiady — wyświetlane na żywo z Extranetu źródłowego; nie pobieramy danych o samym zapisie dziecka na obiady, dietach ani alergenach — patrz pkt 8), skład klasy (imiona i nazwiska uczniów tej samej klasy, wychowawca i rodzice‑przedstawiciele — wyświetlane opiekunowi/uczniowi danej klasy, na żywo z Extranetu źródłowego)
Świadectwa	treść świadectwa szkolnego dziecka: rok i okres, klasa, oceny (opisowe i punktowe) z przedmiotów i ich komponentów, oceny nawyków i postaw wraz ze średnimi, ocena zachowania, komentarz opisowy wychowawcy i dodatkowe pola opisowe, informacja o promocji i wyróżnieniu — wyświetlane na żywo z Extranetu źródłowego oraz udostępniane jako PDF generowany na żądanie (patrz pkt 5). Treść świadectwa nie jest przekazywana do AI — asystent konwersacyjny widzi wyłącznie wykaz (rok, okres, czy świadectwo jest dostępne i kiedy zostało odebrane)
Panel dziecka — zgody	status zgód udzielonych przez opiekuna w Extranecie źródłowym (udzielona / odmówiona / nierozstrzygnięta): m.in. udział w zajęciach religii albo etyki, opieka świetlicowa, wyżywienie, basen, transport i autobus, samodzielny powrót, zgoda na wizerunek i materiały promocyjne, zgoda na przetwarzanie danych, a także zgody dotyczące opieki zdrowotnej i wsparcia specjalistycznego (opieka pielęgniarska, logopeda, poradnia psychologiczno‑pedagogiczna) — wyłącznie wyświetlane na żywo z Extranetu źródłowego (zmiany wprowadza się w Extranecie). Do asystenta konwersacyjnego nie trafiają zgody należące do danych szczególnej kategorii (art. 9 RODO): ani zgody zdrowotne, ani deklaracja religia/etyka (jej status ujawniałby przekonania religijne) — patrz pkt 8. Nie dotyczy to ocen z religii: ocena z religii jest zwykłą oceną i jest widoczna dla asystenta tak jak oceny z pozostałych przedmiotów
Panel dziecka — osoby upoważnione do odbioru	dane osób wskazanych przez opiekuna do odbioru dziecka ze szkoły: imię i nazwisko, numer dokumentu tożsamości i telefon (dane osób trzecich, wprowadzone przez opiekuna w Extranecie źródłowym) — wyłącznie wyświetlane na żywo z Extranetu źródłowego (nie kopiujemy ich do bazy Serwisu), widoczne tylko dla opiekuna (uczeń ich nie widzi). Nigdy nie są przekazywane do AI
Panel dziecka — informacje dodatkowe	opisowe informacje o uczniu wprowadzone w Extranecie źródłowym: zainteresowania, uzdolnienia oraz informacje przekazane przez wychowawcę — wyłącznie wyświetlane na żywo z Extranetu źródłowego, bez udziału AI
Kadra nauczycielska (Kadra)	dane nauczycieli uczących dzieci danej rodziny w bieżącym roku szkolnym: imię i nazwisko, tytuł (np. „mgr”), uczone przedmioty, służbowy adres e‑mail, zdjęcie oraz krótki opis (bio) — wyłącznie wyświetlane na żywo z Extranetu źródłowego (nie kopiujemy ich do bazy Serwisu), pokazywane opiekunowi/uczniowi tylko dla nauczycieli jego dzieci/jego własnych. Zdjęcie osadzamy/linkujemy z publicznego adresu Extranetu — ładuje je przeglądarka użytkownika bezpośrednio z serwera Extranetu (Serwis go nie hostuje). Na pytanie użytkownika asystent konwersacyjny może skorzystać z tych danych wyłącznie po anonimizacji (nauczyciel jako alias, np. `[TEACHER1]`; opis maskowany), bez adresu e‑mail i bez zdjęcia.
Wiadomości i ogłoszenia	treść wiadomości oraz ogłoszeń ze szkoły wraz z nadawcą, datą i nazwami załączników — kopiowane do bazy Serwisu (mirror skrzynki/feedu ogłoszeń), aby umożliwić oznaczanie jako przeczytane oraz szybszy dostęp; przechowujemy je od określonej daty wzwyż. Przy ogłoszeniu zapamiętujemy też, których dzieci z rodziny dotyczy (zbiór ten może się z czasem powiększać). Załączniki ogłoszeń można pobrać: na życzenie użytkownika Serwis pośredniczy w pobraniu — bajty są strumieniowane z chronionego magazynu plików Extranetu przez serwer Serwisu (plik nie trafia do podmiotu zewnętrznego, a Serwis nie kopiuje jego treści do własnej bazy — przechowujemy jedynie nazwę), tak samo jak w „Materiały do pobrania". Pobieranie to jest tymczasowo niedostępne — do czasu uzyskania przez Serwis dostępu do magazynu plików Extranetu załączniki ogłoszeń pobiera się w Extranecie źródłowym, o czym Serwis informuje przy próbie pobrania. Załączniki wiadomości pobiera się nadal w Extranecie źródłowym. Treść jest dodatkowo przetwarzana przez AI (po anonimizacji) w celu wyłuskania z niej zadań do wykonania oraz krótkiego streszczenia tematu pokazywanego w podsumowaniu dnia (pkt 8).
Materiały do pobrania	pliki wgrane przez szkołę: od nauczycieli oraz z sekretariatu i dyrekcji (nazwa pliku, opis, rozmiar, data dodania, nauczyciel/źródło), wyświetlane na żywo z Extranetu źródłowego per dziecko. Na życzenie użytkownika Serwis pośredniczy w pobraniu pliku: bajty są strumieniowane z chronionego magazynu plików Extranetu przez serwer Serwisu (plik nie trafia do żadnego podmiotu zewnętrznego, a Serwis nie kopiuje go trwale do własnej bazy). Pobieranie to jest tymczasowo niedostępne — do czasu uzyskania przez Serwis dostępu do magazynu plików Extranetu pliki pobiera się w Extranecie źródłowym, o czym Serwis informuje przy próbie pobrania. Treść samych plików nigdy nie jest przekazywana do AI — asystent konwersacyjny może skorzystać wyłącznie z metadanych (nazwa, opis, źródło, data), przekazywanych do modelu po anonimizacji (nauczyciel jako alias).
Wydarzenia szkolne (galerie)	tytuł, opis, data i autor wydarzenia oraz zdjęcia z galerii — wyłącznie wyświetlane na żywo z Extranetu źródłowego (nie kopiujemy ich do bazy Serwisu). Zdjęcia osadzamy/linkujemy z publicznych adresów Extranetu (pliki galerii są tam serwowane publicznie): miniatury i pełne zdjęcia ładuje przeglądarka użytkownika bezpośrednio z serwera Extranetu — Serwis ich nie hostuje ani nie pośredniczy w transmisji. Same zdjęcia nigdy nie są przekazywane do AI. Na pytanie użytkownika asystent konwersacyjny może natomiast skorzystać z tekstowych metadanych wydarzenia (tytuł, data, krótkie wprowadzenie, autor, liczba zdjęć) — przekazywanych do modelu AI wyłącznie po anonimizacji (autor jako alias, imiona/nazwiska maskowane), bez samych zdjęć.
Dane kontroli dostępu (karta do szkoły)	indywidualny kod dostępu (identyfikator karty wejściowej) wpisywany w aplikacji mobilnej Roger Mobile Key, którą telefon otwiera furtki/drzwi szkoły — wyłącznie wyświetlany na żywo z Extranetu źródłowego (nie kopiujemy go do bazy Serwisu), pokazywany tylko właścicielowi konta (opiekunowi lub uczniowi). Kod nigdy nie jest przekazywany do AI.
Dane finansowe (rozliczenia rodziny)	należności i noty finansowe rodziny — tytuł i kategoria opłaty, kwoty (naliczone, pozostałe do zapłaty, wpłaty, rabaty), terminy płatności i status (opłacone/po terminie) oraz powiązanie należności z uczniem i notą — wyłącznie wyświetlane na żywo z Extranetu źródłowego (nie kopiujemy ich do bazy Serwisu), rozliczane na poziomie rodziny i widoczne tylko dla opiekuna (uczeń nie ma wglądu w finanse rodziny). Dane finansowe nigdy nie są przekazywane do AI — asystent konwersacyjny ich nie czyta (patrz pkt 8).
Dane kontaktowe rodziców‑przedstawicieli (ROK Box)	dla opiekuna będącego ROK-iem (Rodzicem Odpowiedzialnym za Klasę) — lista rodziców uczniów jego klasy wraz z imieniem, nazwiskiem, telefonem i adresem e‑mail oraz imionami ich dzieci w tej klasie, a także osobna lista wszystkich ROK-ów tej klasy (imię, nazwisko, telefon, e‑mail; z zalogowanym ROK-iem włącznie) do bezpośredniego kontaktu — aby ROK mógł kontaktować się z rodzicami i współprzedstawicielami w sprawach klasowych. Wyłącznie wyświetlana na żywo z Extranetu źródłowego (nie kopiujemy jej do bazy Serwisu), pokazywana tylko ROK-owi danej klasy i tylko dla klas, którymi się opiekuje. Dane kontaktowe innych rodziców nigdy nie są przekazywane do AI — asystent konwersacyjny zna jedynie liczbę klas i rodziców, bez danych osobowych.
Dane techniczne i konta	identyfikatory sesji/tokeny, logi techniczne (bez treści wrażliwych), pliki cookies
Dane logowania Google (opcjonalne)	adres e‑mail konta Google oraz stały identyfikator konta Google (`sub`) — przetwarzane tylko, gdy użytkownik wybierze logowanie przez Google, w celu powiązania konta Google z jego kontem w Serwisie
Dziennik audytu logowań	zdarzenia uwierzytelniania (logowanie udane/nieudane, wylogowanie, połączenie/odłączenie konta Google), login, metoda logowania, zanonimizowany prefiks adresu IP (np. `203.0.113.0/24` — nigdy pełny adres) i znacznik czasu; przechowywane dla bezpieczeństwa konta przez ograniczony czas (pkt 7)
Dane wytwarzane przez Serwis	podsumowania i plany generowane przez AI, zadania (TODO) wyłuskane z wiadomości i ogłoszeń przez AI, ustawienia profilu (wyświetlane imię, kolor przypisany do dziecka oraz włączenie/wyłączenie przypomnień o obiadach dla danego dziecka), cele egzaminów próbnych (docelowy wynik % ustawiony dla ucznia w danym przedmiocie i poziomie), informacja o dostarczeniu świadectwa (data pierwszego otwarcia lub pobrania świadectwa przez danego użytkownika), status cotygodniowego przypomnienia o zapisie dziecka na obiady (dziecko, którego tygodnia dotyczy i czy oznaczono je jako wykonane/odrzucone — przypomnienie generuje sam Serwis; samego zapisu na obiady dokonuje się w osobnej aplikacji zamówposiłek.pl, poza Serwisem), zgłoszenia uwag o aplikacji, pomiar zużycia AI
Dane szczególnej kategorii (art. 9 RODO)	informacje o zdrowiu, alergiach, orzeczeniach — wyłącznie wyświetlane, nigdy przetwarzane przez AI (pkt 8)

Źródłem większości danych jest Extranet źródłowy (dane wprowadzane przez szkołę). Serwis pobiera je do odczytu i nie modyfikuje danych w Extranecie źródłowym.

4. Cele i podstawy prawne przetwarzania

Cel	Podstawa prawna (RODO)
Świadczenie usługi dziennika elektronicznego (wgląd w dane edukacyjne rodziny)	art. 6 ust. 1 lit. b/f oraz realizacja zadań szkoły jako administratora danych edukacyjnych
Uwierzytelnianie i bezpieczeństwo konta, kontrola dostępu (zakres rodziny/ucznia)	art. 6 ust. 1 lit. f (prawnie uzasadniony interes — bezpieczeństwo)
Logowanie przez konto Google (opcjonalne) i powiązanie go z kontem w Serwisie	art. 6 ust. 1 lit. a (zgoda — dobrowolny wybór tej metody) oraz lit. f (bezpieczeństwo)
Funkcje AI (podsumowania, plan nauki, asystent, wyłuskiwanie zadań z treści wiadomości i ogłoszeń) na danych zanonimizowanych	art. 6 ust. 1 lit. f (usprawnienie korzystania z usługi)
Obsługa zgłoszeń, reklamacji i kontaktu — w tym wstępna obsługa zgłoszenia uwag przez agenta AI (dopytanie o szczegóły i uporządkowanie zgłoszenia na danych zanonimizowanych; zgłoszenie zapisujemy zawsze, niezależnie od działania AI)	art. 6 ust. 1 lit. f / c
Zapewnienie bezpieczeństwa, logi techniczne, zapobieganie nadużyciom	art. 6 ust. 1 lit. f
Dziennik audytu logowań (wykrywanie nieautoryzowanego dostępu, rozliczalność)	art. 6 ust. 1 lit. f (prawnie uzasadniony interes — bezpieczeństwo)
Wypełnienie obowiązków prawnych Administratora	art. 6 ust. 1 lit. c

Dane szczególnej kategorii (zdrowotne) są jedynie udostępniane do wglądu uprawnionym osobom i nie są poddawane zautomatyzowanemu przetwarzaniu przez AI; ich przetwarzanie opiera się na przesłankach z art. 9 RODO właściwych dla zadań oświatowych.

5. Odbiorcy danych i podmioty przetwarzające

Administrator korzysta z zaufanych dostawców infrastruktury, którzy przetwarzają dane wyłącznie na jego polecenie, na podstawie umów powierzenia (DPA):

Dostawca	Rola	Lokalizacja przetwarzania
Supabase	baza danych aplikacji (Postgres)	Frankfurt (Unia Europejska)
Render	hosting backendu	Frankfurt (Unia Europejska)
Vercel	hosting frontendu	Frankfurt (Unia Europejska)
Anthropic (Claude)	usługa modeli AI	Stany Zjednoczone
Google (Google Ireland Ltd.)	logowanie przez konto Google (OAuth/OIDC) — tylko, gdy użytkownik wybierze tę metodę	Unia Europejska / Stany Zjednoczone

Region przetwarzania danych aplikacji to Frankfurt (Unia Europejska).

W przypadku Anthropic transfer danych do państwa trzeciego (USA) odbywa się na podstawie standardowych klauzul umownych (SCC), a usługa działa w trybie zero-retention / bez trenowania modeli na danych. Dodatkowo dane przekazywane do modelu są wcześniej anonimizowane (imiona, nazwiska, PESEL, dane kontaktowe są maskowane). Do modelu przekazujemy m.in. zanonimizowaną treść wiadomości i ogłoszeń, aby wyłuskać z niej zadania do wykonania (pkt 8); dane zdrowotne ze słowników/pól zdrowotnych nie są przekazywane w ogóle. Treść wiadomości może jednak — jako wolny tekst pisany przez człowieka — incydentalnie zawierać informacje o stanie zdrowia; pracujemy nad ograniczeniem tego ryzyka (zob. zastrzeżenie w dokumencie „do doprecyzowania").

Dodatkowo, wyłącznie gdy Administrator włączy opcjonalną funkcję lepszego maskowania zdrobnień (domyślnie wyłączoną), Serwis przekazuje do modelu samo imię dziecka — bez nazwiska, numeru PESEL i jakichkolwiek innych danych czy powiązań — jedynie po to, aby ustalić jego formy gramatyczne i zdrobnienia (np. „Julka" od „Julia") i dzięki temu skuteczniej zamaskować te formy przed wysłaniem właściwej treści do modelu. Odbywa się to u tego samego podmiotu przetwarzającego (Anthropic, na podstawie SCC, w trybie zero-retention / bez trenowania modeli), a wynik jest zapamiętywany, aby nie odpytywać modelu wielokrotnie dla tego samego imienia.

Logowanie przez Google jest opcjonalne — uruchamia się wyłącznie, gdy użytkownik świadomie wybierze tę metodę. W jego ramach do Google trafiają dane niezbędne do uwierzytelnienia (m.in. adres e‑mail i identyfikator konta Google); ewentualny transfer do USA odbywa się na podstawie standardowych klauzul umownych (SCC). Użytkownik może w każdej chwili odłączyć konto Google i nadal logować się poświadczeniami Extranetu.

Dane mogą być udostępniane także podmiotom uprawnionym na podstawie przepisów prawa.

Pliki pobierane przez Użytkownika. Serwis umożliwia pobranie plików zawierających dane rodziny: listy zadań w PDF, świadectwa dziecka w PDF, planu nauki w PDF oraz — dla zadania będącego wydarzeniem — pliku kalendarza (.ics). Pliki te są generowane na żądanie (nie przechowujemy ich w żadnym zewnętrznym magazynie plików) i przekazywane wyłącznie Użytkownikowi. Jeśli Użytkownik samodzielnie doda taki plik do usługi zewnętrznej (np. kalendarza w telefonie lub kalendarza w chmurze), dalsze przetwarzanie zawartych w nim danych odbywa się poza Serwisem, na odpowiedzialność Użytkownika i na zasadach wybranego przez niego dostawcy — Administrator nie przekazuje tych plików takim usługom.

6. Przekazywanie danych poza EOG

Dane aplikacji przechowywane i przetwarzane są w regionie Frankfurt (Unia Europejska). Wyjątkiem jest korzystanie z usługi AI (Anthropic, USA) — w tym zakresie stosujemy standardowe klauzule umowne (SCC) oraz dodatkowe zabezpieczenia (anonimizacja, wyłączenie danych zdrowotnych, brak trenowania modeli) — oraz opcjonalne logowanie przez Google, gdy użytkownik je wybierze (transfer do USA na podstawie SCC).

7. Okres przechowywania

Dane prezentowane z Extranetu źródłowego nie są w Serwisie trwale przechowywane poza zakresem niezbędnym do działania (np. cache, derywaty); źródłem pozostaje Extranet źródłowy.
Dane sesji i logi techniczne przechowujemy przez czas niezbędny do zapewnienia bezpieczeństwa i rozliczalności, a następnie usuwamy lub anonimizujemy.
Dziennik audytu logowań przechowujemy przez 90 dni, po czym wpisy są automatycznie usuwane; adres IP zapisujemy wyłącznie w postaci zanonimizowanego prefiksu sieci (nigdy pełnego adresu).
Zbuforowane wyniki AI (np. podsumowania) przechowujemy przez krótki okres (mechanizm TTL) i można je usunąć w odniesieniu do danego dziecka.
Kopię wiadomości oraz ogłoszeń (mirror skrzynki i feedu ze szkoły) przechowujemy w bazie Serwisu, aby umożliwić oznaczanie ich jako przeczytane oraz szybszy dostęp; obejmuje ona wiadomości/ogłoszenia od określonej daty wzwyż i jest usuwana wraz z usunięciem danych Użytkownika. Przy ogłoszeniu trzymamy też listę dotyczonych dzieci z rodziny. Starsze wiadomości i ogłoszenia (sprzed tej daty) oraz wiadomości wysłane przez Użytkownika nie są przechowywane w bazie Serwisu — pobieramy je na żądanie, na bieżąco z systemu źródłowego (Extranet) i wyświetlamy bez zapisywania kopii (te starsze ogłoszenia nie są też przekazywane do AI — analiza obejmuje tylko zmirrorowany feed).
Zadania (TODO) wyłuskane z wiadomości i ogłoszeń przez AI przechowujemy w bazie Serwisu wraz z ich statusem (do wykonania / zrobione / odrzucone) i powiązaniem z dzieckiem oraz wiadomością/ogłoszeniem źródłowym; są usuwane wraz z usunięciem danych Użytkownika. Wynik analizy AI buforujemy w postaci zanonimizowanej (bez imion), co pozwala nie wywoływać modelu ponownie dla tej samej, masowo wysłanej treści.
Rozmowy z asystentem konwersacyjnym (pytania Użytkownika o dane jego rodziny oraz odpowiedzi asystenta) przechowujemy w bazie Serwisu, aby zachować historię rozmowy, przez 150 dni od utworzenia, po czym są automatycznie usuwane; Użytkownik może też usunąć rozmowę wcześniej. Do modelu AI (Anthropic) przekazujemy treść rozmowy wyłącznie po anonimizacji (bez imion i danych kontaktowych), a dane szczególne (np. zdrowotne) i finansowe nie są udostępniane asystentowi. Rozmowy są usuwane także wraz z usunięciem danych Użytkownika.
Zapisane plany nauki (harmonogram sesji metodą Pomodoro, który asystent układa na prośbę Użytkownika, aby udostępnić go do wydruku w formacie PDF) przechowujemy w bazie Serwisu wyłącznie dla danego konta. Plan zawiera przedmioty, tematy nauki i imię dziecka (drukowane lokalnie w nagłówku, nie przekazywane do modelu AI), przez 150 dni od utworzenia, po czym jest automatycznie usuwany; usuwamy je także wraz z usunięciem danych Użytkownika.
Ustawienia profilu (wyświetlane imię oraz kolor przypisany do dziecka) przechowujemy w bazie Serwisu wyłącznie dla danego konta — personalizują one tylko widok tego Użytkownika i nie zmieniają danych w Extranecie źródłowym ani profilu innego konta. Przechowujemy je do czasu ich zmiany lub usunięcia danych Użytkownika i nie przekazujemy ich do AI.
Informację o dostarczeniu świadectwa (datę pierwszego otwarcia lub pobrania danego świadectwa przez Użytkownika) przechowujemy w bazie Serwisu wyłącznie dla danego konta, aby odnotować fakt zapoznania się ze świadectwem dziecka. Nie zapisujemy jej w Extranecie źródłowym i nie przekazujemy do AI; przechowujemy ją do czasu usunięcia danych Użytkownika.
Cele egzaminów próbnych (docelowy wynik procentowy ustawiony dla ucznia w danym przedmiocie i poziomie) przechowujemy w bazie Serwisu jako cel danego ucznia — widoczny i edytowalny zarówno przez ucznia, jak i jego opiekuna. Wartość początkowa może pochodzić z Extranetu źródłowego (tylko odczyt), ale zmiany zapisujemy wyłącznie w bazie Serwisu (nie zmieniamy danych w Extranecie). Nie przekazujemy jej do AI; przechowujemy ją do czasu zmiany, wyczyszczenia lub usunięcia danych Użytkownika.
Zgłoszenia uwag przechowujemy do czasu ich obsłużenia i przez okres wynikający z prawnie uzasadnionego interesu Administratora.

Administrator nie wykorzystuje danych Użytkowników do trenowania modeli AI.

8. Dane zdrowotne i sztuczna inteligencja

Dane dotyczące zdrowia (alergie, orzeczenia, notatki i informacje zdrowotne) to dane szczególnej kategorii (art. 9 RODO). Dotyczy to dedykowanych pól i słowników zdrowotnych w danych ucznia. W Serwisie:

są wyświetlane uprawnionym osobom bez udziału AI,
nigdy nie są przekazywane do modelu AI ani poddawane zautomatyzowanemu przetwarzaniu przez AI,
nie są kopiowane do bazy aplikacji w zakresie wykraczającym poza niezbędne wyświetlenie.

Przed każdym wywołaniem modelu AI dane identyfikujące (imiona, nazwiska, PESEL, adresy, dane kontaktowe) są anonimizowane (zastępowane aliasami); odtworzenie danych następuje wyłącznie po stronie Serwisu.

Dane wyłączone z przekazywania do AI. Poza dedykowanymi polami zdrowotnymi do modelu AI nie trafiają w ogóle: dane finansowe rodziny, kod dostępu do szkoły (karta/Roger Mobile Key), dane kontaktowe innych rodziców z katalogu ROK Box, dane osób upoważnionych do odbioru dziecka (w tym numer dokumentu tożsamości i telefon), zgody dotyczące opieki zdrowotnej i wsparcia specjalistycznego, status deklaracji religia/etyka, treść świadectw, zdjęcia (galerie wydarzeń, zdjęcia nauczycieli) oraz treść plików z „Materiałów do pobrania". Asystent konwersacyjny korzysta wyłącznie z zakresu opisanego przy poszczególnych kategoriach w pkt 3.

Wyłączenie deklaracji religia/etyka dotyczy samego faktu wyboru (kategoria z art. 9 RODO — przekonania religijne). Oceny z religii pozostają dostępne dla funkcji AI na równi z ocenami z innych przedmiotów — są zwykłymi ocenami szkolnymi i ich pominięcie zniekształcałoby np. średnią czy podsumowanie tygodnia.

Baza wiedzy o szkole. Asystent może też przeszukiwać przygotowaną przez Administratora bazę wiedzy o szkole (organizacja dnia, mundurki, wyżywienie, terminy, pojęcia szkolne, dane kontaktowe placówki). Są to informacje organizacyjne szkoły, a nie dane osobowe uczniów ani rodzin, więc zwracane fragmenty nie zawierają danych rodziny.

Treść wiadomości i ogłoszeń a AI. Aby wyłuskać zadania do wykonania, zanonimizowana treść wiadomości oraz ogłoszeń ze szkoły jest przekazywana do modelu AI. Przy ogłoszeniach model dodatkowo tworzy krótkie streszczenie tematu (kilka słów), które prezentujemy w podsumowaniu dnia jako listę nowych ogłoszeń (np. „Pojawiły się nowe ogłoszenia o…"); powstaje ono z tej samej, zanonimizowanej treści i jest buforowane wraz z wynikiem analizy zadań. To wolny tekst pisany przez człowieka, więc może incydentalnie zawierać informacje o zdrowiu (np. „proszę pamiętać o leku dziecka"). Nie stosujemy obecnie automatycznego odfiltrowywania takich treści przed wysłaniem do modelu — ograniczamy ryzyko przez anonimizację danych identyfikujących oraz tryb zero‑retention / bez trenowania modeli u dostawcy. Jest to świadomie zaakceptowane ryzyko resztkowe, podlegające rewizji po pełnej analizie prawnej (zob. „do doprecyzowania"). Nie dotyczy to dedykowanych pól zdrowotnych, które do AI nie trafiają.

9. Zautomatyzowane podejmowanie decyzji i profilowanie

Serwis nie podejmuje wobec Użytkowników decyzji wywołujących skutki prawne lub w podobny sposób istotnych, opartych wyłącznie na zautomatyzowanym przetwarzaniu (w tym profilowaniu). Funkcje AI mają charakter wspierający i informacyjny, a ich wyniki są oznaczane jako wygenerowane przez AI.

Brak profilowania. Serwis nie tworzy profili osób: nie buduje ocen ryzyka, nie prognozuje wyników nauczania, nie segmentuje uczniów ani nie personalizuje treści na podstawie wnioskowanych cech. Nie wnioskuje też o stanie emocjonalnym Użytkownika. Oceny, oceny przewidywane i punkty za zachowanie pochodzą od nauczycieli z Extranetu źródłowego — AI ich nie wystawia, nie zmienia i nie przelicza. Dane Użytkowników nie są wykorzystywane do trenowania modeli AI.

Informacja w rozumieniu AI Act. Administrator jest dostawcą systemu AI w rozumieniu rozporządzenia (UE) 2024/1689; modele językowe dostarcza Anthropic PBC (rodzina modeli Claude) — zob. pkt 5. Administrator ustalił, że Serwis nie jest systemem AI wysokiego ryzyka: nie ocenia efektów uczenia się, nie decyduje o dostępie do edukacji, nie monitoruje uczniów podczas egzaminów, nie profiluje i nie rozpoznaje emocji. Zamierzone przeznaczenie funkcji AI oraz ich znane ograniczenia opisuje Regulamin § 7; błędną treść wygenerowaną przez AI można zgłosić tą samą drogą co pozostałe uwagi o działaniu Serwisu.

10. Pliki cookies

Serwis wykorzystuje wyłącznie pliki cookies niezbędne do jego działania — służące uwierzytelnianiu i utrzymaniu sesji zalogowanego Użytkownika. Serwis nie stosuje cookies analitycznych, marketingowych ani cookies podmiotów trzecich.

Serwis pozwala utrzymać w jednej przeglądarce kilka odrębnych sesji jednocześnie — konto opiekuna oraz konta jednego lub większej liczby uczniów (np. gdy z jednego urządzenia korzysta rodzic i kilkoro dzieci) — bez wzajemnego wylogowywania. Każde konto ma osobne pliki cookies sesji, nazwane wg jego tożsamości (<principal>_<identyfikator>), a Użytkownik przełącza aktywne konto w interfejsie Serwisu:

Nazwa	Cel	Rodzaj	Czas przechowywania	Atrybuty
`se_session_<konto>` (np. `se_session_guardian_1`, `se_session_student_77`)	token sesji (dostępu) — utrzymanie stanu zalogowania, osobno dla każdego konta	niezbędny (własny)	30 minut	`HttpOnly`, `SameSite=Lax`, `Secure` (w środowisku produkcyjnym), `Path=/`
`se_refresh_<konto>` (np. `se_refresh_student_77`)	token odświeżający — przedłużenie sesji bez ponownego logowania, osobno dla każdego konta	niezbędny (własny)	30 dni	`HttpOnly`, `SameSite=Lax`, `Secure` (w środowisku produkcyjnym), `Path=/`
`se_name_<konto>` (np. `se_name_student_77`)	imię i nazwisko wyświetlane na danym koncie — pozwala przełącznikowi kont pokazać nazwę konta także wtedy, gdy wygasł token sesji (i pozostał tylko token odświeżający), osobno dla każdego konta	niezbędny (własny)	30 dni	`HttpOnly`, `SameSite=Lax`, `Secure` (w środowisku produkcyjnym), `Path=/`
`se_active`	wskaźnik aktywnego konta przy kilku równoległych sesjach	niezbędny (własny)	30 dni	`HttpOnly`, `SameSite=Lax`, `Secure` (w środowisku produkcyjnym), `Path=/`
`se_goauth`	tymczasowy stan logowania przez Google (zabezpieczenie PKCE/CSRF) — ustawiany tylko podczas tej operacji i kasowany po jej zakończeniu	niezbędny (własny)	10 minut	`HttpOnly`, `SameSite=Lax`, `Secure` (w środowisku produkcyjnym), `Path=/`

Cookies te są niezbędne do świadczenia usługi żądanej przez Użytkownika (logowanie i korzystanie z Serwisu), dlatego — zgodnie z przepisami o ochronie danych i prywatności w łączności elektronicznej — nie wymagają zgody w postaci banera cookies. Użytkownik może zarządzać plikami cookies w ustawieniach przeglądarki; zablokowanie cookies niezbędnych uniemożliwia zalogowanie i korzystanie z Serwisu. Gdyby w przyszłości wprowadzono cookies inne niż niezbędne (np. analityczne), Serwis poprosi o zgodę przed ich użyciem.

Pamięć lokalna przeglądarki (localStorage i sessionStorage)

Serwis zapisuje też niewielką ilość danych w pamięci lokalnej przeglądarki (localStorage oraz sessionStorage) — wyłącznie w celach funkcjonalnych, bez danych osobowych i bez przekazywania ich do serwera Serwisu ani podmiotów trzecich:

Nazwa	Cel	Przechowywana wartość	Czas przechowywania
`se-onboarding-tour-v1` (localStorage)	zapamiętanie, że na urządzeniu pokazano już krótki samouczek wprowadzający (dla opiekuna, na wersji mobilnej), aby nie wyświetlać go ponownie	wyłącznie znacznik `1` (brak danych osobowych)	do czasu wyczyszczenia danych przeglądarki przez Użytkownika
`se-standalone` (sessionStorage)	zapamiętanie — na czas bieżącej karty — że Serwis działa jako zainstalowana aplikacja (PWA), aby po przywróceniu aplikacji przez system nadal wyświetlać układ mobilny	wyłącznie znacznik `1` (brak danych osobowych)	do zamknięcia karty / aplikacji (pamięć sesyjna)

Wpisy te są niezbędne do działania tych funkcji, pozostają na urządzeniu Użytkownika i mogą zostać w każdej chwili usunięte przez wyczyszczenie danych przeglądarki (wpis sesyjny znika sam z chwilą zamknięcia karty lub aplikacji).

11. Prawa osób, których dane dotyczą

Osobie, której dane dotyczą, przysługują prawa: dostępu do danych, sprostowania, usunięcia („prawo do bycia zapomnianym" — w zakresie danych przechowywanych przez Serwis), ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, a także prawo do cofnięcia zgody (jeżeli przetwarzanie opiera się na zgodzie) bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem.

W celu realizacji praw należy skontaktować się z Administratorem (pkt 1). Żądania dotyczące korekty danych merytorycznych (np. ocen, frekwencji) realizuje szkoła w Extranecie źródłowym, ponieważ Serwis prezentuje te dane w trybie tylko do odczytu.

12. Prawo do skargi

Osoba, której dane dotyczą, ma prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa) — jeżeli uzna, że przetwarzanie jej danych narusza przepisy RODO.

13. Bezpieczeństwo

Administrator stosuje środki techniczne i organizacyjne adekwatne do ryzyka, m.in.: dostęp do danych ograniczony do zakresu rodziny/ucznia i egzekwowany po stronie serwera (zasady RLS), połączenia szyfrowane, dostęp do Extranetu źródłowego wyłącznie do odczytu, anonimizacja danych przed AI, szyfrowanie danych w spoczynku po stronie dostawcy bazy oraz podpisane, wygasające adresy do plików (np. PDF). Administrator nie zapisuje danych wrażliwych w logach.

14. Zmiany Polityki prywatności

Polityka może być aktualizowana w razie zmian przepisów lub sposobu świadczenia usług. O istotnych zmianach informujemy poprzez Serwis. Aktualna wersja obowiązuje od dnia jej publikacji.