1. Administrator danych

Administratorem danych osobowych przetwarzanych w serwisie Smart Extranet, dostępnym pod adresem https://pruszkow.extranet.edu.pl (dalej „Serwis"), jest:

FUNDACJA STERNIK-WARSZAWA ZACHÓD ul. Staszica 1, 05-800 Pruszków, Polska KRS: 0000396442 · NIP: 5342483079 · REGON: 145877890

(dalej „Administrator" lub „Fundacja").

We wszystkich sprawach dotyczących ochrony danych osobowych (w tym realizacji praw, o których mowa w pkt 11) można kontaktować się z Administratorem:

• e-mail: fundacja.warszawa-zachod@sternikpruszkow.edu.pl
• telefon: +48 509 000 082
• adres: ul. Staszica 1, 05-800 Pruszków, Polska

2. Czego dotyczy ta Polityka

Serwis to dziennik elektroniczny: prezentuje dane edukacyjne pobierane z dotychczasowego systemu szkoły (dalej „Extranet źródłowy"), zapisuje we własnej bazie dane niezbędne do własnego działania, a ponadto — na działanie Użytkownika i w zamkniętym zakresie — zapisuje jego czynności z powrotem w Extranecie źródłowym (pkt 3a): najczęściej po wyraźnym zatwierdzeniu formularza lub wysłaniu wiadomości (także plik, który Użytkownik dołącza do usprawiedliwienia albo wiadomości; Serwis go przekazuje i nie przechowuje), a w kilku przypadkach (otwarcie wiadomości lub sygnału, otwarcie odpowiedzi nauczyciela, pobranie pliku PDF świadectwa) automatycznie, jako skutek zapoznania się z treścią. Tutoring placówek, które przeniesiono do Serwisu, Serwis prowadzi sam: jego zapisy przechowuje we własnej bazie, a nie w Extranecie źródłowym (pkt 3, wiersz „Tutoring: zapisy przechowywane przez Serwis”). Serwis nie tworzy wpisów z własnej inicjatywy ani przez AI: przy sygnałach i punktach z zachowania od nauczyciela AI przygotowuje jedynie propozycję, a wpis powstaje dopiero wtedy, gdy nauczyciel ją sprawdzi i zapisze (pkt 3a). Polityka opisuje, jakie dane, w jakim celu i na jakiej podstawie przetwarzamy oraz jakie prawa przysługują osobom, których dane dotyczą.

3. Kategorie osób i danych

Serwis przetwarza dane następujących kategorii osób:

• Rodzice/opiekunowie (użytkownicy konta opiekuna),
• Uczniowie (użytkownicy konta ucznia oraz dzieci, których dane są wyświetlane opiekunom),
• Nauczyciele — osoby, których dane służbowe Serwis wyświetla rodzinom (wiersz „Kadra nauczycielska" poniżej), a także użytkownicy konta nauczyciela. Przy koncie nauczyciela Serwis przetwarza wyłącznie dane potrzebne do logowania i utrzymania sesji: login, imię i nazwisko oraz wewnętrzny identyfikator konta z Extranetu źródłowego, rozszerzenie pliku jego zdjęcia z Extranetu źródłowego (to samo zdjęcie, które widzą rodziny w wierszu „Kadra nauczycielska”; Serwis pokazuje je nauczycielowi przy jego koncie, a przeglądarka ładuje je z publicznego adresu Extranetu), token sesji (pkt 10) i wpisy dziennika audytu logowań, a do zbiorczej statystyki korzystania także dni, w których konto weszło do Serwisu (wiersz „Dni korzystania z Serwisu" poniżej), a przy wpisach dyktowanych także dane o jego urządzeniu odczytane z nagłówka przeglądarki, jego dyktowania z ocenami propozycji (wiersz „Wpisy dyktowane przez nauczyciela: propozycje AI i ocena nauczyciela"), a gdy sam wyśle zgłoszenie uwag o aplikacji, także treść zgłoszenia i rozmowy z agentem, login konta i adres strony portalu, z której je wysłał, i zużycie AI liczone dla jego konta, które widzą osoby z rolą administracyjną Serwisu (wiersz „Dane wytwarzane przez Serwis"). Konto nauczyciela służy do sprawdzania obecności na lekcjach, które nauczyciel prowadzi, w tym na lekcjach zajęć, których jest nauczycielem, dopóki nie są przypisane do innego nauczyciela tych samych zajęć (w dniu lekcji albo później w tym samym roku szkolnym), i do przeglądania kalendarza jego lekcji (wiersz „Lekcje i obecność w portalu nauczyciela" poniżej) i kalendarium szkoły placówek, w których pracuje (wiersz „Kalendarium szkoły w portalu nauczyciela"), oraz do tutoringu i opinii przed spotkaniem tutorskim w placówkach, których tutoring prowadzi Serwis (wiersze „Tutoring w portalu nauczyciela" i „Opinie przed spotkaniem tutorskim"), a także do dodawania sygnałów i punktów z zachowania (sygnał uczniowi szkoły podstawowej, punkty z zachowania uczniowi liceum; wiersz „Sygnały i zachowanie w portalu nauczyciela") i do korespondencji z rodzinami uczniów (wiersz „Wiadomości w portalu nauczyciela"), od chwili włączenia tych funkcji przez Fundację — wcześniej nie wyświetla żadnych danych uczniów; poza zakresem opisanym w tych wierszach (oraz w wierszach „Rola administracyjna konta" i „Rola koordynatora tutoringu", jeśli Fundacja nada kontu nauczyciela którąś z tych ról) nie daje dostępu do danych uczniów ani rodzin. Dane nauczyciela nie są kopiowane do bazy Serwisu poza sesją, dziennikiem logowań, dniami korzystania z Serwisu, dziennikiem operacji zapisu (pkt 3a) oraz zapisami tutoringu, których nauczyciel jest autorem albo których dotyczy (wewnętrzny identyfikator tutora przy terminach, autora przy opinii i przy wpisie po spotkaniu; imion i nazwisk nauczycieli Serwis tam nie zapisuje), a także propozycjami wpisów, które sam podyktował, i danymi o jego urządzeniu (wiersz „Wpisy dyktowane przez nauczyciela: propozycje AI i ocena nauczyciela") oraz zgłoszeniami uwag o aplikacji, które sam wyśle, i nie są przekazywane do AI: do modelu trafia wyłącznie tekst, który nauczyciel sam podyktuje we wpisie albo napisze w zgłoszeniu uwag, po zamaskowaniu rozpoznanych imion i nazwisk (pkt 8), bez loginu, imienia, nazwiska ani identyfikatora jego konta,
• Osoby wskazane przez opiekuna do odbioru dziecka — ich dane (imię i nazwisko, numer dokumentu tożsamości, telefon) podaje opiekun, a Serwis zapisuje je w Extranecie źródłowym (pkt 3a). Dane te pochodzą od opiekuna, a nie od osoby, której dotyczą (art. 14 RODO). Administratorem tych danych w systemie szkoły pozostaje szkoła, która zbiera upoważnienia od rodziców; Serwis jest wyłącznie kanałem, którym opiekun je składa. Opiekun powinien poinformować wskazane osoby, że podał ich dane.

Przetwarzane kategorie danych obejmują:

Źródłem większości danych jest Extranet źródłowy (dane wprowadzane przez szkołę); Serwis czyta je kontem o uprawnieniach wyłącznie do odczytu. Część danych powstaje natomiast w Serwisie i trafia do Extranetu źródłowego — patrz pkt 3a; tą drogą, bez zachowywania kopii w Serwisie, idą też pliki, które Użytkownik dołącza do usprawiedliwienia albo wiadomości (pkt 3a, akapit „Załączniki”). Zapisy tutoringu placówek przeniesionych do Serwisu powstają w Serwisie i w nim zostają; z Extranetu źródłowego Serwis przejął je przy przeniesieniu placówki: zapisy bieżącego roku szkolnego oraz, wyłącznie do wglądu, kopię spotkań i opinii z lat wcześniejszych uczniów, którzy w tej chwili uczęszczają do placówki (pkt 3, wiersz „Tutoring: zapisy przechowywane przez Serwis”).

3a. Dane, które Serwis zapisuje w Extranecie źródłowym

Serwis nie jest już wyłącznie „oknem" na dane szkoły: na działanie Użytkownika zapisuje w Extranecie źródłowym jego czynności (co zatwierdza, a co dzieje się samo — niżej). Zakres jest zamknięty i ograniczony uprawnieniami po stronie bazy danych, a nie samym ustawieniem aplikacji: osobne konto zapisu ma dostęp do wskazanych kolumn przy zmianie danych oraz do wskazanych tabel przy dodawaniu i usuwaniu wpisów, a przy przeniesieniu tutoringu do jednego wąskiego widoku tabeli ustawień (niżej). Same pliki, które Użytkownik dołącza do usprawiedliwienia albo wiadomości, trafiają na serwer Extranetu źródłowego osobną drogą: przez podpisaną bramkę plików, którą szkoła musi u siebie włączyć (niżej, „Załączniki”). Dodatkowe ograniczenie (do dzieci własnej rodziny, a dla nauczyciela: przy obecności do uczniów lekcji, którą prowadzi, przy sygnałach i punktach z zachowania do uczniów z jego zakresu, a przy wiadomości do rodzin tych uczniów i jego podopiecznych oraz do rodziny, której odpowiada, pkt 3) wymusza sam Serwis przy każdej operacji; przy uwadze sama instrukcja zapisu sprawdza dodatkowo, że uczeń jest aktywny i należy do placówki nauczyciela, do jego zajęć albo do klasy, której jest wychowawcą, a przy wiadomości nauczyciela, że nauczyciel nadal pracuje w szkole, a wskazany opiekun jest opiekunem ucznia. Zapis obejmuje:

Zapisów tutoringu ta tabela nie obejmuje. Umówienie i odwołanie spotkania z tutorem, terminy i wpisy tutora oraz opinie nauczycieli Serwis zapisuje we własnej bazie (pkt 3, wiersz „Tutoring: zapisy przechowywane przez Serwis”), a nie w Extranecie źródłowym. W Extranecie źródłowym tutoring korzysta wyłącznie z kolejki pocztowej (niżej, „E-maile o spotkaniach z tutorem”) oraz z wiersza ustawień zamykającego tutoring przeniesionej placówki (wiersz tabeli wyżej).

Wiadomość e-mail do nauczyciela. Wysłanie wiadomości z Serwisu zleca dodatkowo e-mail do adresata, zawierający temat i treść tej wiadomości oraz podpis nadawcy — kolejką pocztową Extranetu źródłowego, czyli tą samą infrastrukturą i z tego samego adresu nadawcy co dotychczasowe wiadomości szkoły. Nie pojawia się przez to żaden nowy dostawca ani nowy kanał na zewnątrz (pkt 5). Jako adres do odpowiedzi (reply-to) wskazywany jest adres e-mail nadawcy zapisany w Extranecie źródłowym: opiekuna albo — gdy pisze uczeń — adres e-mail ucznia, aby odpowiedź nauczyciela trafiła do osoby, która zadała pytanie. Gdy nadawca dołącza do wiadomości pliki, e-mail zawiera same pliki (od chwili włączenia tej funkcji przez Fundację; do tego czasu podaje tylko ich liczbę i to, że można je pobrać w Extranecie źródłowym) i dlatego wychodzi dopiero wtedy, gdy pliki dotrą (niżej, „Załączniki a dane o zdrowiu, AI i e-maile”).

Wiadomość e-mail od nauczyciela. Wiadomość nauczyciela do rodziny ucznia zleca tą samą kolejką pocztową e-mail z tematem i treścią wiadomości oraz imieniem i nazwiskiem nauczyciela i ucznia, osobno do każdego adresata (żaden opiekun nie widzi adresu drugiego): do każdego opiekuna ucznia, do jednego z nich albo, przy odpowiedzi uczniowi, na adres e-mail ucznia. Tak jak Extranet źródłowy, Serwis wysyła go niezależnie od ustawienia powiadomień e-mail opiekuna, a jako adres do odpowiedzi wskazuje adres e-mail nauczyciela zapisany w Extranecie źródłowym, aby rodzic mógł odpisać ze swojej poczty. Pliki dołączone przez nauczyciela e-mail zawiera, tak jak e-mail z Extranetu źródłowego (od chwili włączenia tej funkcji przez Fundację; do tego czasu tylko je zapowiada: ich liczba i to, że są do pobrania w Extranecie źródłowym).

E-maile o spotkaniach z tutorem. Umówienie spotkania, jego odwołanie, zapisanie ucznia przez tutora i wpis ustaleń (gdy tutor zaznaczy wysyłkę) zlecają e-maile, które w tej sytuacji wysłałby Extranet źródłowy — według szablonów szkoły zapisanych w Extranecie źródłowym i tą samą kolejką pocztową: do tutora, do każdego opiekuna dziecka albo do ucznia. Taki e-mail może zawierać imię i nazwisko ucznia, termin, tematy spotkania i ustalenia tutora — tak jak e-mail z Extranetu źródłowego. Każdy adresat dostaje osobny e-mail (żaden opiekun nie widzi adresu drugiego). Wysyłamy je niezależnie od ustawienia powiadomień e-mail opiekuna, bo to wiadomość o konkretnym spotkaniu, a nie ogłoszenie — tak samo postępuje Extranet źródłowy. O odwołaniu spotkania tutor dostaje wiadomość Serwisu (Extranet źródłowy nie miał odwołania). W placówkach, których tutoring prowadzi Serwis, Serwis wysyła tą samą drogą i według szablonów szkoły także to, co dotąd wysyłał Extranet źródłowy: przypomnienia o spotkaniach (do tutora i do każdego opiekuna ucznia, z wyprzedzeniem ustalonym przez szkołę) oraz prośby do nauczycieli o opinię przed spotkaniem umówionym przez opiekuna (do nauczycieli przedmiotów ucznia, wychowawcy i osób pełniących funkcje, które szkoła do tego wskazała), z odnośnikiem do opinii w Serwisie. O opinię przed spotkaniem może też poprosić tutor albo koordynator tutoringu. Koordynatorzy tutoringu dostają tą samą drogą, na adres e‑mail swojego konta w Extranecie źródłowym, alarm o niezgodności między Serwisem a Extranetem źródłowym; taki e-mail podaje wyłącznie liczby i nazwy placówek, bez danych uczniów i rodzin.

Załączniki. Od chwili włączenia tej funkcji przez Fundację w Serwisie i przez szkołę po stronie Extranetu źródłowego (do tego czasu żaden plik nie trafia przez Serwis do Extranetu źródłowego) Użytkownik może dołączyć pliki do trzech dokumentów, które wysyła z Serwisu: opiekun do usprawiedliwienia albo zgłoszenia nieobecności (np. zwolnienie lekarskie albo jego zdjęcie), opiekun albo uczeń do wiadomości do nauczyciela, a nauczyciel do wiadomości do rodziny ucznia. Do jednego dokumentu najwyżej 5 plików, każdy najwyżej 4 MB, w formatach PDF, DOC/DOCX, XLS/XLSX, PPT/PPTX, ODT/ODS/ODP, TXT, PNG i JPG; format Serwis sprawdza po nazwie i po zawartości pliku. Pliki dołącza się zaraz po wysłaniu dokumentu, w tym samym oknie: Serwis przyjmuje plik wyłącznie od autora dokumentu, wyłącznie do dokumentu, który sam zapisał w Extranecie źródłowym na jego żądanie, i najpóźniej godzinę po jego zapisaniu. Plik, który nie dotarł do systemu szkoły, można w tym oknie wysłać ponownie; po jego zamknięciu pliku do tego dokumentu nie da się już dołączyć (Extranet źródłowy też przyjmuje pliki tylko przy tworzeniu dokumentu), można go natomiast wysłać w nowej wiadomości.

Odpowiedzi na prace domowe. Od chwili włączenia tej funkcji przez Fundację opiekun (za swoje dziecko) i uczeń (za siebie) mogą w Serwisie oddać odpowiedź na pracę domową, którą nauczyciel zadał „na ocenę" z odpowiedzią „przez internet" — tak jak na stronie lekcji w Extranecie źródłowym. Serwis przyjmuje odpowiedź wyłącznie do początku lekcji, na którą praca jest zadana, i tylko przy pracy, której nauczyciel tę lekcję wyznaczył; po tej chwili odpowiedzi można tylko czytać. Odpowiedzi może być kilka; do początku lekcji można poprawić tekst każdej odpowiedzi dziecka (także tej, którą napisał drugi opiekun albo sam uczeń, jak w Extranecie źródłowym), dołączyć do niej pliki (najwyżej 5 na odpowiedź, licząc te dołączone w Extranecie źródłowym; formaty, limit 4 MB i droga pliku jak niżej) i usunąć z niej plik. Usunięcie pliku działa jak w Extranecie źródłowym: Serwis usuwa jego wiersz z rejestru plików, a następnie sam plik z serwera szkoły, przez bramkę plików, która może usunąć wyłącznie plik odpowiedzi na pracę domową o rozmiarze zapisanym w usuniętym wierszu. Gdyby bramka pliku nie usunęła (np. była niedostępna), plik zostaje na serwerze szkoły nieosiągalny dla Extranetu i Serwisu, a Fundacja może poprosić szkołę o jego usunięcie. Przy nowej odpowiedzi zapisujemy, kto ją dodał (opiekun albo uczeń wraz z numerem jego konta), tak jak robi to Extranet źródłowy; nauczyciel widzi to przy odpowiedzi, a Serwis pisze przy dacie oddania „przez Ciebie", „przez rodzica" albo „przez ucznia". Inaczej niż przy wiadomości i usprawiedliwieniu Serwis nie wysyła przy odpowiedzi żadnego e-maila (Extranet źródłowy też nie); nauczyciel widzi odpowiedź w Extranecie źródłowym, tak jak każdą inną. Tekst odpowiedzi zapisujemy w Extranecie źródłowym w tej samej postaci co formularz Extranetu; pliki odpowiedzi idą tą samą drogą co załączniki (niżej) i tak samo nie są przechowywane przez Serwis ani przekazywane do AI.

Droga załącznika. Plik przechodzi z przeglądarki Użytkownika przez serwer frontendu (Vercel) i backendu (Render) Serwisu, oba we Frankfurcie (pkt 5), na serwer Extranetu źródłowego: podpisanym połączeniem HTTPS do bramki plików Extranetu, która zapisuje go w tym samym katalogu, w którym Extranet źródłowy trzyma własne załączniki, i nigdy nie nadpisuje istniejącego pliku. Nazwę pliku Serwis zapisuje w Extranecie źródłowym kontem zapisu (tabela wyżej). Serwis pliku nie przechowuje: plik przechodzi wyłącznie przez pamięć serwera, nie trafia do bazy Serwisu ani do żadnego magazynu plików, a jego nazwy i treści nie zapisujemy w logach. W dzienniku operacji (niżej, „Rozliczalność”) zostają wyłącznie identyfikatory (konta, dokumentu i załącznika), rozmiar pliku (aby wiedzieć, czy plik zmieści się w e-mailu, niżej) oraz jednokierunkowy skrót (SHA-256) wyliczony z nazwy i treści pliku, z którego nie da się ich odtworzyć. Od chwili włączenia przez Fundację wysyłki plików w e-mailach plik idzie też dalej, ale już nie przez Serwis: e-mail z plikiem wysyła serwer pocztowy Extranetu źródłowego, który czyta plik z własnego dysku (niżej).

Zdjęcia zmniejsza przeglądarka. Przed wysłaniem przeglądarka Użytkownika zapisuje na nowo każde zdjęcie JPEG (a plik PNG tylko wtedy, gdy jest większy niż 4 MB), w rozmiarze najwyżej 2000 pikseli na dłuższym boku. Usuwa to zapisane w zdjęciu metadane (EXIF), np. miejsce, w którym je zrobiono. Szkoła dostaje tę zmniejszoną kopię, a nie oryginał. Gdy przeglądarka nie potrafi zdjęcia przetworzyć (np. starsza przeglądarka), wysyła je w pierwotnej postaci, razem z metadanymi.

Załączniki a dane o zdrowiu, AI i e-maile. Załącznik do usprawiedliwienia bywa dokumentem o zdrowiu dziecka (art. 9 RODO). Serwis jedynie przekazuje go na żądanie opiekuna do systemu szkoły, tak jak gdyby opiekun dołączył go w Extranecie źródłowym; ani treść, ani nazwa dołączonego pliku nie są przekazywane do AI (asystent konwersacyjny zna wyłącznie liczbę załączników zgłoszenia, pkt 3). Załącznik usprawiedliwienia może w Serwisie pobrać wyłącznie opiekun, a uczeń go nie widzi (pkt 3); załączniki wiadomości otwiera się nadal w Extranecie źródłowym. E-maile, które Serwis zleca przy takim dokumencie (powiadomienie wychowawcy o zgłoszeniu, e-mail do nauczyciela o wiadomości rodziny, e-mail do rodziny o wiadomości nauczyciela), od chwili włączenia tej funkcji przez Fundację zawierają same pliki, tak jak e-maile wysyłane przez Extranet źródłowy. Dlatego taki e-mail czeka, aż pliki dotrą do Extranetu źródłowego, i wychodzi zaraz po ostatnim z nich; gdy któryś nie dotrze, e-mail wychodzi po kilku minutach z plikami, które dotarły. Pliki, które razem mają więcej niż 15 MB, zostają w Extranecie źródłowym, a e-mail podaje ich liczbę i to, że można je tam pobrać. Do czasu włączenia e-mail wychodzi od razu i zawsze tylko zapowiada pliki w ten sposób. E-mail z plikiem trafia do skrzynki pocztowej adresata u jego dostawcy poczty, gdzie pozostaje według zasad tej skrzynki i może zostać przekazany dalej; przy usprawiedliwieniu bywa to dokument o zdrowiu dziecka w skrzynce wychowawcy (tak samo jak przy usprawiedliwieniu złożonym w Extranecie źródłowym). Serwis nie przechowuje w tym czasie ani pliku, ani treści e-maila: składa e-mail w chwili wysyłki z tego, co jest zapisane w Extranecie źródłowym. Potwierdzenie dla opiekuna i e-mail do nauczycieli przedmiotów o nieobecności przyszłej plików nie zawierają, a ten drugi o załącznikach nie wspomina.

Czego nie zapisujemy. Poza powyższą listą Serwis danych szkolnych nie zmienia — nie zapisuje ocen, frekwencji innej niż obecność wpisana przez nauczyciela na jego lekcji z bieżącego roku szkolnego (ani na przykład cofnięcia usprawiedliwienia przez wychowawcę), orzeczeń ani szkolnej notatki zdrowotnej, ani pozostałych zgód składanych przy rekrutacji (m.in. religia/etyka, świetlica, basen, transport, wizerunek). Dane o zdrowiu, które opiekun podaje sam, są tu wyjątkiem po stronie funkcji — deklaracja dietetyczna (wraz z polem „pozostałe") oraz pole „Ważne informacje zdrowotne": zapisujemy je w Extranecie źródłowym na jego wyraźne żądanie i nigdy nie przekazujemy ich do AI (pkt 8). Tak samo plik, który opiekun dołącza do usprawiedliwienia (np. zwolnienie lekarskie): przekazujemy go do Extranetu źródłowego na jego żądanie, bez kopii w Serwisie i bez udziału AI (akapit „Załączniki” wyżej).

Granicę zapisu wyznacza uprawnienie po stronie bazy danych, odrębne od uprawnień odczytu, a nie samo ustawienie Serwisu. Do ocen, orzeczeń, szkolnej notatki zdrowotnej i zgód rekrutacyjnych konto zapisu nie ma żadnych uprawnień. Dla usprawiedliwień to uprawnienie — do tabel zgłoszeń oraz do tych kolumn frekwencji, w których szkoła odnotowuje skutek zgłoszenia — zostało przygotowane z wyprzedzeniem (żeby nie prosić szkoły o nadanie uprawnień dwa razy dla jednej funkcji) i od 2026-09-19 jest rzeczywiście używane: opiekun może złożyć usprawiedliwienie nieobecności przeszłej albo zgłoszenie nieobecności przyszłej wprost w Serwisie, wybierając dni albo pojedyncze lekcje i podając powód (pkt 3, wiersz „Usprawiedliwienia nieobecności"). Uprawnienie ogranicza zapis dokładnie do tych kolumn, którymi ta czynność się posługuje; grupy zajęć, oceny i pozostałe pola frekwencji zostają poza jego zasięgiem. Załączniki: przygotowane wtedy uprawnienie do dodania wiersza z nazwą pliku przy zgłoszeniu Serwis wykorzystuje od chwili włączenia dołączania plików (akapit „Załączniki” wyżej). Dołączanie plików wymaga też poszerzenia uprawnień, które nadaje szkoła: o dodawanie wiersza z nazwą pliku przy wiadomości oraz o usuwanie wiersza załącznika usprawiedliwienia i wiadomości, z którego Serwis korzysta wyłącznie wtedy, gdy plik nie dotarł na serwer szkoły (wiersz tabeli wyżej). Sam plik zapisuje na serwerze szkoły bramka plików Extranetu źródłowego, którą szkoła włącza u siebie osobno. Obecność wpisywaną przez nauczyciela (od 2026-09-25) obejmuje to samo uprawnienie do frekwencji, poszerzone o znacznik spóźnienia i identyfikator wpisującego nauczyciela oraz o stan lekcji (oznaczenie jako sprawdzonej i czas tej zmiany). Poszerzenie nadaje szkoła; dopóki go nie ma, próba zapisu kończy się odmową bazy danych i niczego nie zmienia (cały zapis jednej lekcji jest jedną transakcją — zapisuje się w całości albo wcale). Przy każdym wierszu frekwencji, który Serwis tworzy albo zmienia, zapisuje identyfikator nauczyciela, który wpisał obecność (kolumna przeznaczona na to w Extranecie źródłowym, którą ten sam formularz Extranetu źródłowego wypełnia tak samo). Sygnały i punkty z zachowania wpisywane przez nauczyciela (od 2026-10-01): uprawnienie do dodania sygnału (pochwały, uwagi albo komentarza) uczniowi szkoły podstawowej i punktów z zachowania uczniowi liceum, do poprawienia takiego wpisu (przy sygnale: treść, waga i rodzaj; przy punktach: kategoria, liczba punktów, komentarz, data oraz rok i okres wpisu) oraz do jego trwałego usunięcia zostało przygotowane z wyprzedzeniem, w tej samej prośbie do szkoły co obecność. Serwis korzysta wyłącznie z dodawania wpisów (wiersz tabeli wyżej, „Sygnał albo punkty z zachowania od nauczyciela”), od chwili włączenia tej funkcji przez Fundację; dopóki szkoła nie nada uprawnienia, próba zapisu kończy się odmową bazy danych i niczego nie zmienia. Z poprawiania i usuwania Serwis nie korzysta: takie zmiany nauczyciel robi nadal w Extranecie źródłowym. Usunięcia nie da się cofnąć, bo Extranet źródłowy nie przechowuje usuniętych wpisów. Uprawnienie nie obejmuje zmiany ucznia albo nauczyciela, którego wpis dotyczy; to pozostaje w Extranecie źródłowym. Tutoring nie korzysta z żadnego uprawnienia zapisu do tabel spotkań tutorskich w Extranecie źródłowym: jego zapisy przechowuje Serwis (pkt 3). Jedynym uprawnieniem tutoringu jest wąski widok tabeli ustawień, opisany w wierszu tabeli wyżej: pozwala dodać i usunąć wiersz zamykający tutoring placówki i nic poza tym. Prace domowe (od 2026-10-05): uprawnienie do dodania odpowiedzi ucznia na pracę domową zadaną z odpowiedzią przez internet i do zmiany jej treści, a także do dodania i usunięcia wiersza pliku takiej odpowiedzi, Serwis wykorzystuje wyłącznie do czynności opisanych wyżej (wiersz tabeli „Odpowiedź na pracę domową” i akapit „Odpowiedzi na prace domowe”), od chwili włączenia tej funkcji przez Fundację; dopóki szkoła nie nada uprawnienia, Fundacja funkcji nie włącza. Wiersze plików Serwis może dodawać i usuwać wyłącznie przez wąski widok rejestru plików Extranetu źródłowego, który pokazuje tylko pliki odpowiedzi na prace domowe; do plików nauczycieli, materiałów i egzaminów konto zapisu nie ma uprawnień. Odpowiedzi Serwis nie usuwa (nie robi tego też Extranet źródłowy).

Wpis dotyczący innego dziecka. Jedna operacja wykracza poza dane własnej rodziny: gdy opiekun wypisze dziecko z pełnych zajęć, zwolnione miejsce przypada pierwszej osobie z listy rezerwowej, a Serwis zmienia wtedy status wpisu innego dziecka — dokładnie tę czynność wykonałby Extranet źródłowy. Nie odczytujemy przy tym ani nie pokazujemy żadnych danych osobowych tego dziecka; w dzienniku operacji zapisujemy wyłącznie identyfikator zmienionego wiersza.

Wpisu nie inicjuje AI. Żadna funkcja sztucznej inteligencji, w tym asystent konwersacyjny, nie ma dostępu do kanału zapisu — narzędzia asystenta pozwalają wyłącznie czytać dane. Przy sygnałach i punktach z zachowania od nauczyciela AI przygotowuje jedynie propozycję (którego ucznia dotyczy, rodzaj wpisu, kategorię, podyktowaną liczbę punktów i treść); zapis wykonuje Serwis dopiero wtedy, gdy nauczyciel sprawdzi ucznia i każde pole i kliknie „Zapisz w dzienniku”, a część Serwisu korzystająca z AI nie ma dostępu do kanału zapisu. Każdy wpis z powyższej tabeli powstaje w wyniku działania Użytkownika w interfejsie Serwisu i jest przypisany do jego konta; wiersz zamykający tutoring placówki przypisuje do konta koordynatora sam Serwis (w dzienniku niżej i w historii przeniesień), bo Extranet źródłowy nie przypisuje ustawień do kont.

Co zatwierdzasz, a co dzieje się samo. Treść i decyzje (wiadomość, odpowiedź i reakcja emotką na sygnał, zgoda, deklaracja, zapis na zajęcia, odwołanie obiadu, obecność, sygnał albo punkty z zachowania od nauczyciela, dołączony plik) zapisujemy dopiero po zatwierdzeniu przez Użytkownika. Trzy pozycje działają automatycznie, bez osobnego potwierdzenia: oznaczenie wiadomości i sygnału jako odczytanych powstaje w chwili ich otwarcia (sygnału: tylko przez opiekuna), a odnotowanie odbioru świadectwa — w chwili pobrania pliku PDF przez opiekuna. Wiersz zamykający tutoring placówki Serwis dodaje i usuwa w następstwie przeniesienia albo jego cofnięcia, które koordynator tutoringu zatwierdza w Serwisie; gdy przeniesienie się nie powiedzie, Serwis sam usuwa wiersz, który przed chwilą dodał.

Rozliczalność. Operacje tworzące nową treść albo nieodwracalne — wiadomość do nauczyciela wraz z e-mailem, odpowiedź na sygnał, dodanie reakcji emotką (jej późniejszej zmiany nie odnotowujemy, jak poprawienia odpowiedzi), zapis i wypisanie z zajęć (wraz z awansem z listy rezerwowej), zgody posiłkowe, odwołanie obiadu i jego cofnięcie, każde zapisanie obecności przez nauczyciela (identyfikator lekcji i liczby obecnych, nieobecnych i spóźnionych — bez nazwisk uczniów), każde zapisanie sygnału albo punktów z zachowania przez nauczyciela (rodzaj wpisu, identyfikatory ucznia, rodzaju sygnału albo kategorii i nowego wpisu oraz to, co zapisano: czy to pochwała, uwaga czy komentarz, i wagę sygnału albo liczbę i datę punktów, bez treści i bez imion), każde dołączenie pliku (identyfikatory konta, dokumentu i załącznika, rozmiar pliku oraz jednokierunkowy skrót SHA-256 wyliczony z nazwy i treści pliku, bez samej nazwy i treści) oraz dodanie i usunięcie wiersza zamykającego tutoring placówki (numer placówki, przebieg przeniesienia i login koordynatora) — Serwis odnotowuje we własnej bazie (rodzaj operacji, konto, którego dotyczy, identyfikatory i wynik) — bez treści wpisu — aby operacja nie wykonała się dwa razy (przy wpisach nauczyciela Serwis sprawdza w nim też, czy nauczyciel nie zapisał już wpisu temu samemu uczniowi w ostatnich 12 godzinach, i wtedy uprzedza go o tym na propozycji, a przy załącznikach, czy dokument zapisał sam Serwis na żądanie tego Użytkownika w ciągu ostatniej godziny) i aby dało się ustalić, co i kiedy zostało zapisane. Pozostałe zapisy, które nadpisują pojedynczą wartość w Extranecie (oznaczenia „odczytane", odnotowanie odbioru świadectwa, edycja deklaracji i danych z formularza dziecka), odrębnego wpisu w tym dzienniku nie mają. Wpisy w tym dzienniku przechowujemy przez 12 miesięcy od operacji, a następnie usuwamy; usuwamy je także wraz z danymi Użytkownika. Zapisy tutoringu dziennika nie potrzebują, bo przechowuje je sam Serwis: przy każdym zapamiętuje, kto i kiedy go utworzył, zmienił albo odwołał, a wpis tutora po spotkaniu także w poprzednich wersjach (pkt 3). Serwis nie cofa wykonanego zapisu — zmianę odwraca się tak samo, jak się ją wprowadziło (ponownym działaniem w Serwisie albo w Extranecie źródłowym). Wyjątki są dwa: wiersz zamykający tutoring placówki (gdy przeniesienie się nie powiedzie, Serwis sam usuwa wiersz, który przed chwilą dodał) i wiersz z nazwą dołączonego pliku (gdy plik nie dotrze na serwer szkoły, Serwis sam usuwa wiersz, który przed chwilą dodał). Dołączonego pliku, który dotarł do systemu szkoły, Serwis nie usuwa.

4. Cele i podstawy prawne przetwarzania

Dane szczególnej kategorii (zdrowotne) są udostępniane do wglądu uprawnionym osobom (opiekunowi oraz, w zakresie pomocy psychologiczno-pedagogicznej, orzeczenia i szkolnej notatki o zdrowiu, tutorowi ucznia i nauczycielowi, którego szkoła poprosiła o opinię o uczniu; pkt 3), a w zakresie, w jakim opiekun sam je podaje w Serwisie (deklaracja dietetyczna, pole „Ważne informacje zdrowotne" — pkt 3a), także zapisywane przez Serwis w Extranecie źródłowym na jego wyraźne żądanie. Nie są poddawane zautomatyzowanemu przetwarzaniu przez AI. Ich przetwarzanie opiera się na przesłankach z art. 9 RODO właściwych dla zadań oświatowych, a w zakresie danych podanych przez opiekuna — na art. 9 ust. 2 lit. a RODO. Dokument o zdrowiu dziecka, który opiekun dołącza do usprawiedliwienia (np. zwolnienie lekarskie), Serwis jedynie przekazuje na jego żądanie do Extranetu źródłowego: plik przechodzi przez serwery Serwisu (Vercel, Render; pkt 5) tylko w drodze do systemu szkoły, nie jest w Serwisie przechowywany i nie trafia do AI (pkt 3a, akapit „Załączniki”); przesłanka z art. 9 RODO dla tego przekazania jest w trakcie potwierdzania (zob. „do doprecyzowania”, pkt 40). Informacje o zdrowiu dziecka mogą znaleźć się także w tematach spotkań z tutorem, ustaleniach tutora i opiniach nauczycieli; te Serwis przechowuje zaszyfrowane (pkt 3), pokazuje wyłącznie osobom wskazanym w pkt 3 i nigdy nie przekazuje do AI (wyjątek, poprawianie pisanej opinii z AI, obowiązkowe co najmniej raz przy każdej opinii, opisuje pkt 8; tekstu z rozpoznanymi słowami o zdrowiu i ten wyjątek nie obejmuje). Tekstu wpisu dyktowanego przez nauczyciela, w którym Serwis rozpozna słowa o zdrowiu, Serwis nie przekazuje do AI ani nie zapisuje (pkt 8).

5. Odbiorcy danych i podmioty przetwarzające

Administrator korzysta z zaufanych dostawców infrastruktury, którzy przetwarzają dane wyłącznie na jego polecenie, na podstawie umów powierzenia (DPA):

Region przetwarzania danych aplikacji to Frankfurt (Unia Europejska).

Extranet źródłowy — odbiorca, nie podmiot przetwarzający. Dane, które Serwis zapisuje zgodnie z pkt 3a, trafiają do systemu informatycznego szkoły i na jego infrastrukturę; tą samą drogą wychodzi e-mail do nauczyciela i e-maile o spotkaniach z tutorem (kolejką pocztową Extranetu, z jego adresu), a na serwer Extranetu trafiają pliki dołączone przez Użytkownika do usprawiedliwienia albo wiadomości. Taki plik przechodzi przez serwery Serwisu u dostawców z tabeli wyżej (Vercel, Render) wyłącznie w drodze do systemu szkoły: nie jest zapisywany ani w bazie Serwisu (Supabase), ani w żadnym magazynie plików. Szkoła nie jest tu podmiotem przetwarzającym na zlecenie Administratora — jest odrębnym administratorem danych edukacyjnych, do którego systemu wpis wraca. Nie pojawia się przez to żaden nowy dostawca ani nowa droga danych na zewnątrz: to ten sam system i ta sama poczta, z których rodzina korzystała przed Serwisem.

Zapisy tutoringu: Fundacja jako administrator. Fundacja jest organem prowadzącym szkoły, których dane Serwis prezentuje. Zapisy tutoringu, które po przeniesieniu placówki przechowuje Serwis (pkt 3), Fundacja przetwarza jako ich administrator, a nie na zlecenie szkoły: nie jest tu podmiotem przetwarzającym i nie zawiera ze szkołą umowy powierzenia. Zapisy te nie wracają do Extranetu źródłowego; tutorzy, nauczyciele i koordynator tutoringu korzystają z nich w Serwisie. Do systemu szkoły trafia wyłącznie treść e-maili o spotkaniach (w tym przypomnień i próśb o opinię), bo wychodzą one kolejką pocztową Extranetu źródłowego, tak jak dotąd.

Spotkania online z tutorem (Jitsi Meet). Spotkanie z tutorem w formie online odbywa się w publicznej usłudze Jitsi Meet (meet.jit.si), prowadzonej przez podmiot trzeci — tej samej, której używa Extranet źródłowy. Serwis nie osadza spotkania na swojej stronie i nie przekazuje tej usłudze żadnych danych: pokazuje tutorowi i rodzinie zarezerwowanego dziecka link, który użytkownik sam otwiera w nowej karcie. Nazwa pokoju w linku nie zawiera imion ani nazwisk: dla spotkania umówionego w Serwisie to losowy ciąg znaków nadany przy rezerwacji, a spotkanie przejęte z Extranetu źródłowego zachowuje dotychczasową nazwę (skrót wyliczony z identyfikatorów spotkania), żeby wysłane wcześniej linki prowadziły do tego samego pokoju. Dane, które uczestnik poda albo przekaże w samym spotkaniu (wyświetlane imię, obraz i dźwięk), przetwarza operator tej usługi na własnych zasadach, także co do miejsca przetwarzania — to nie jest podmiot przetwarzający na zlecenie Administratora.

Rozpoznawanie mowy przy dyktowaniu wpisów. Nauczyciel może podyktować opis zdarzenia klawiaturą swojego telefonu albo komputera. Mowę rozpoznaje wtedy klawiatura urządzenia i jej dostawca (np. Google, Apple, Samsung, Microsoft), zwykle w swojej chmurze, poza Serwisem i na zasadach tego dostawcy, także co do miejsca przetwarzania. Serwis otrzymuje wyłącznie gotowy tekst, nie nagranie, i nie przekazuje dostawcy klawiatury żadnych danych; dostawca klawiatury nie jest podmiotem przetwarzającym na zlecenie Administratora. Dlatego instrukcja w portalu prosi, by podawać tylko imię i klasę ucznia, bez nazwisk i informacji o zdrowiu: maskowanie w Serwisie (pkt 8) działa dopiero na tekście, który klawiatura już rozpoznała.

Statystyka odsłon (Umami). Do pomiaru korzystania z Serwisu używamy samodzielnie hostowanego, otwartoźródłowego narzędzia Umami — bez cookies, bez zapisywania adresu IP i bez profilu użytkownika (pkt 10). Rejestrowany adres strony jest przed wysłaniem celowo okrojony do samej ścieżki (np. /oceny) — nigdy nie zawiera identyfikatora dziecka, roku szkolnego ani innych parametrów. Instancja narzędzia działa na infrastrukturze wskazanej w tabeli powyżej (Frankfurt, UE) i jest współdzielona z innymi serwisami tego samego operatora technicznego — statystyka Serwisu jest w niej wydzielona (osobna witryna), a dane mają charakter zagregowany i nie pozwalają na identyfikację użytkownika.

W przypadku Anthropic transfer danych do państwa trzeciego (USA) odbywa się na podstawie standardowych klauzul umownych (SCC), a usługa działa w trybie zero-retention / bez trenowania modeli na danych. Dodatkowo dane przekazywane do modelu są wcześniej anonimizowane (imiona, nazwiska, PESEL, dane kontaktowe są maskowane; we wpisach dyktowanych przez nauczyciela imię albo nazwisko, którego Serwis nie rozpozna, może trafić do modelu, pkt 8). Do modelu przekazujemy m.in. zanonimizowaną treść wiadomości i ogłoszeń oraz opisy zajęć z modułu Zapisy, aby wyłuskać z nich zadania do wykonania (pkt 8), oraz tekst wpisu podyktowany przez nauczyciela wraz z listą klas i katalogiem rodzajów sygnałów i kategorii punktów szkoły, aby przygotować propozycję wpisu (pkt 8), a gdy nauczyciel sam o to poprosi, tekst opinii, którą pisze, aby zaproponować poprawioną wersję (pkt 8); dane zdrowotne ze słowników/pól zdrowotnych nie są przekazywane w ogóle.

Terminy zajęć dodatkowych. Opis zajęć i naboru z modułu Zapisy przekazujemy do modelu jeszcze w jednym celu: aby odczytać z niego datę, w której zajęcia się odbywają. System szkolny nie zapisuje takiej daty w żadnym polu — przy zajęciach jednorazowych (wyjazd, wycieczka, jeden wykład) szkoła wpisuje ją w tytule albo w opisie, np. „UW - 4 marca 2027". Bez tego odczytu takie zajęcia wyglądają jak cotygodniowe: pokazują się w planie w każdy tydzień i nie znikają z listy ofert po terminie. Przekazujemy wyłącznie tekst napisany przez szkołę o jej własnej ofercie (tytuł i opis zajęć, tytuł i opis naboru, rok szkolny) — wcześniej pozbawiony identyfikatorów bezpośrednich (PESEL, telefon, e-mail) oraz wszystkich imion i nazwisk, także osób spoza rodziny Użytkownika. Nie trafiają tam żadne dane Użytkownika ani dziecka — w szczególności ani informacja o tym, kto jest na te zajęcia zapisany, ani ceny. Treść wiadomości może jednak — jako wolny tekst pisany przez człowieka — incydentalnie zawierać informacje o stanie zdrowia; pracujemy nad ograniczeniem tego ryzyka (zob. zastrzeżenie w dokumencie „do doprecyzowania").

Diagnostyka techniczna z użyciem narzędzia AI. Wykonawca oprogramowania, szukając przyczyn błędów i sprawdzając poprawność działania Serwisu, może zlecać narzędziu programistycznemu Claude Code (Anthropic) zapytania do bazy Extranetu źródłowego — wyłącznie w trybie odczytu, na koncie bazy, które nie ma prawa niczego zmienić. Zanim zapytanie trafi do bazy, Serwis je sprawdza i odrzuca każde, które odwołuje się do imienia, nazwiska, numeru PESEL, adresu i miejsca zamieszkania, daty urodzenia, danych kontaktowych, danych logowania, treści wiadomości, uwag i innych tekstów wpisywanych przez ludzi, danych o zdrowiu, diecie i wyznaniu albo do kwot i danych finansowych; odrzuca też zapytania o wszystkie kolumny naraz. Do narzędzia trafiają więc wyłącznie identyfikatory techniczne (numery wierszy w bazie), daty zdarzeń, statusy, oceny i liczby. To dane spseudonimizowane: nie wskazują osoby bez dostępu do bazy szkoły, ale w rozumieniu RODO nadal są danymi osobowymi. Wyniki służą wyłącznie diagnozie; w dokumentacji projektu zapisujemy tylko zestawienia zbiorcze. Ten przepływ działa na innych warunkach niż funkcje AI Serwisu opisane wyżej: narzędzie Claude Code jest używane na warunkach usługi Anthropic dla osób indywidualnych, a nie na umowie, na której opiera się tryb zero-retention funkcji Serwisu. Administrator zaakceptował korzystanie z narzędzia na tych warunkach. Podstawą prawną jest jego prawnie uzasadniony interes, czyli utrzymanie poprawnego działania Serwisu (art. 6 ust. 1 lit. f RODO, pkt 4).

Przegląd zgłoszeń uwag i ocen odpowiedzi z użyciem narzędzia AI. Nowe zgłoszenia uwag o aplikacji oraz oceny odpowiedzi asystenta wykonawca oprogramowania przegląda codziennie z pomocą tego samego narzędzia Claude Code (Anthropic): narzędzie czyta je z bazy Serwisu, ocenia, czy dotyczą błędu albo brakującej funkcji, i przygotowuje poprawkę albo opis zadania do decyzji zespołu. Przy ocenie odpowiedzi narzędzie widzi wyłącznie zanonimizowaną kopię rozmowy opisaną w pkt 3 (imiona, nazwiska, telefony, adresy e‑mail i PESEL zastąpione oznaczeniami), nigdy rozmowy w postaci, którą widzi Użytkownik. Przy zgłoszeniu uwag narzędzie widzi treść zgłoszenia i rozmowy z agentem tak, jak Użytkownik je napisał, dlatego w oknie zgłoszenia prosimy, by nie podawać w nim danych osobowych innych osób. Dotyczy to także zgłoszeń z konta nauczyciela: nad ich oknem stoi prośba, by nie wpisywać imion ani nazwisk uczniów, rodziców i pracowników, ale tekst, który nauczyciel mimo to wpisze, narzędzie przeczyta tak, jak go napisano. W dokumentacji projektu i w opisach zadań treść zgłoszeń i rozmów nie jest cytowana, tylko streszczana bez danych osobowych. Cytuje ją wyłącznie e‑mail z podsumowaniem przeglądu, który wykonawca oprogramowania otrzymuje do swojej skrzynki pocztowej w usłudze Gmail (Google): przytacza treść zgłoszenia uwag tak, jak ją napisano, a przy ocenie odpowiedzi ocenioną odpowiedź i pytanie przed nią z zanonimizowanej kopii rozmowy. Taki e‑mail przechowujemy najwyżej 150 dni od jego wysłania (pkt 7). Ten przepływ działa na tych samych warunkach co diagnostyka techniczna wyżej — na warunkach usługi Anthropic dla osób indywidualnych, a nie na umowie, na której opiera się tryb zero-retention funkcji AI Serwisu. Administrator zaakceptował ten przepływ na tych warunkach; podstawy prawne przeglądu zgłoszeń i przeglądu ocen odpowiedzi podaje pkt 4.

Dodatkowo, wyłącznie gdy Administrator włączy opcjonalną funkcję lepszego maskowania zdrobnień (domyślnie wyłączoną), Serwis przekazuje do modelu samo imię dziecka — bez nazwiska, numeru PESEL i jakichkolwiek innych danych czy powiązań — jedynie po to, aby ustalić jego formy gramatyczne i zdrobnienia (np. „Julka" od „Julia") i dzięki temu skuteczniej zamaskować te formy przed wysłaniem właściwej treści do modelu. Odbywa się to u tego samego podmiotu przetwarzającego (Anthropic, na podstawie SCC, w trybie zero-retention / bez trenowania modeli), a wynik jest zapamiętywany, aby nie odpytywać modelu wielokrotnie dla tego samego imienia.

Ilustracje zajęć. Kafelki przy zajęciach i naborach w zakładce „Zajęcia i zapisy" są rysowane przez AI (Google Gemini) i oznaczone w Serwisie. Do modelu przekazujemy wyłącznie opis oferty sporządzony przez szkołę — nazwę zajęć, nazwę naboru, kategorię, dni tygodnia i treść ogłoszenia o naborze. Nie przekazujemy tam żadnych danych osobowych: ani danych dziecka, ani rodzica, ani informacji o tym, kto na co jest zapisany, ani cen. Z treści ogłoszenia szkoły dodatkowo usuwamy identyfikatory bezpośrednie (numer PESEL, numer telefonu, adres e‑mail), gdyby szkoła podpisała je pod ogłoszeniem. Obrazek powstaje raz na dane zajęcia, w tle, i jest przechowywany w bazie aplikacji (Frankfurt, UE) — model nie jest odpytywany ponownie przy każdym wyświetleniu strony.

Ilustracje wypraw ROK-ów. Przy pomysłach na wyprawy w zakładce ROK Box („Wyprawy") widać takie same kafelki, rysowane przez AI (Google Gemini) i oznaczone w Serwisie. Do modelu przekazujemy treść pomysłu wpisaną przez ROK-ów: nazwę miejsca, uwagi, adres strony internetowej (sam host), liczbę dni, czas dojazdu, informację, czy wyprawa jest dla ojców czy dla mam, i przedział klas. Nie przekazujemy danych dziecka, rodzica ani autora pomysłu. Z uwag usuwamy identyfikatory bezpośrednie (numery telefonów zapisane w dowolny sposób, adresy e‑mail, numery PESEL), ale uwagi są tekstem wolnym, więc mogłoby się w nich znaleźć imię osoby prowadzącej obiekt; prosimy ROK-ów, by takich danych tam nie wpisywali. Obrazek powstaje raz na pomysł, dopiero po dobie od jego dodania (autor może go wcześniej zmieniać), w tle, i jest przechowywany w bazie aplikacji (Frankfurt, UE). Ewentualny transfer do USA odbywa się na podstawie standardowych klauzul umownych (SCC).

Logowanie przez Google jest opcjonalne — uruchamia się wyłącznie, gdy użytkownik świadomie wybierze tę metodę. W jego ramach do Google trafiają dane niezbędne do uwierzytelnienia (m.in. adres e‑mail i identyfikator konta Google); ewentualny transfer do USA odbywa się na podstawie standardowych klauzul umownych (SCC). Użytkownik może w każdej chwili odłączyć konto Google i nadal logować się poświadczeniami Extranetu.

Dane mogą być udostępniane także podmiotom uprawnionym na podstawie przepisów prawa.

Pliki pobierane przez Użytkownika. Serwis umożliwia pobranie plików zawierających dane rodziny: planu nauki w PDF (nadchodzące sprawdziany i zadania — bez udziału AI), świadectwa dziecka w PDF, harmonogramu nauki w PDF (sesje ułożone przez AI), planu zaległości w PDF (zakres materiału z opuszczonych lekcji, zestawiony przez AI z wpisów nauczycieli — kartka niesie oznaczenie, że powstała z udziałem AI, oraz daty lekcji, z których złożono każdą pozycję) oraz — dla zadania będącego wydarzeniem — pliku kalendarza (.ics). Pliki te są generowane na żądanie (nie przechowujemy ich w żadnym zewnętrznym magazynie plików) i przekazywane wyłącznie Użytkownikowi. Jeśli Użytkownik samodzielnie doda taki plik do usługi zewnętrznej (np. kalendarza w telefonie lub kalendarza w chmurze), dalsze przetwarzanie zawartych w nim danych odbywa się poza Serwisem, na odpowiedzialność Użytkownika i na zasadach wybranego przez niego dostawcy — Administrator nie przekazuje tych plików takim usługom.

Pliki wysyłane przez Użytkownika do szkoły. Plik, który Użytkownik dołącza do usprawiedliwienia albo wiadomości (pkt 3a, akapit „Załączniki”), Serwis przekazuje do Extranetu źródłowego i również go nie przechowuje: nie zapisuje go w bazie ani w żadnym zewnętrznym magazynie plików, a po przekazaniu nie ma go już w Serwisie. Plik żyje dalej w systemie szkoły, według jej zasad.

6. Przekazywanie danych poza EOG

Dane aplikacji przechowywane i przetwarzane są w regionie Frankfurt (Unia Europejska). Wyjątkiem jest korzystanie z usługi AI (Anthropic, USA) — w tym zakresie stosujemy standardowe klauzule umowne (SCC) oraz dodatkowe zabezpieczenia (anonimizacja, wyłączenie danych zdrowotnych, brak trenowania modeli) — oraz opcjonalne logowanie przez Google, gdy użytkownik je wybierze (transfer do USA na podstawie SCC). Osobną drogą do USA jest diagnostyka techniczna z użyciem narzędzia Claude Code (pkt 5): trafiają nią wyłącznie dane spseudonimizowane. Tą samą drogą trafiają do USA zgłoszenia uwag i zanonimizowane kopie rozmów dołączone do ocen odpowiedzi asystenta (pkt 5, „Przegląd zgłoszeń uwag i ocen odpowiedzi z użyciem narzędzia AI”). Administrator zaakceptował to przekazanie na warunkach usługi Anthropic dla osób indywidualnych; nie obejmują go standardowe klauzule umowne, na których opiera się przekazanie danych z funkcji AI Serwisu. Poza EOG trafia też e‑mail z podsumowaniem tego przeglądu (pkt 5): przechowuje go Google w skrzynce Gmail wykonawcy oprogramowania. Administrator zaakceptował to przekazanie na warunkach usługi Google dla osób indywidualnych; nie obejmują go standardowe klauzule umowne, na których opiera się logowanie przez Google. Rozpoznawanie mowy przez klawiaturę urządzenia nauczyciela (pkt 5) odbywa się poza Serwisem, u dostawcy tej klawiatury i na jego zasadach.

7. Okres przechowywania

• Dane prezentowane z Extranetu źródłowego nie są w Serwisie trwale przechowywane poza zakresem niezbędnym do działania (np. cache, derywaty); źródłem pozostaje Extranet źródłowy. Wyjątkiem są zapisy tutoringu placówek przeniesionych do Serwisu (punkt niżej).
• Zapisy tutoringu (pkt 3, wiersz „Tutoring: zapisy przechowywane przez Serwis”) przechowujemy w bazie Serwisu jako dokumentację tutoringu prowadzonego w szkołach Fundacji. Dotyczy to także odwołanych rezerwacji (wraz z tematami), poprzednich wersji wpisów tutora oraz terminów, ścieżek, załączników i stron usuniętych w Serwisie, które pozostają w bazie z datą usunięcia. Okres przechowywania tych zapisów i sposób realizacji żądania ich usunięcia Fundacja jeszcze ustala (zapis dotyczy zwykle kilku osób naraz: ucznia, jego opiekunów, tutora i nauczycieli); do czasu tej decyzji Serwis nie usuwa ich automatycznie. Zapisy z lat szkolnych sprzed przeniesienia placówki przechowuje nadal Extranet źródłowy, według zasad szkoły; kopię tych zapisów, przejętą do wglądu dla uczniów uczęszczających do placówki, Serwis przechowuje na tych samych zasadach co pozostałe zapisy tutoringu.
• Dane sesji i logi techniczne przechowujemy przez czas niezbędny do zapewnienia bezpieczeństwa i rozliczalności, a następnie usuwamy lub anonimizujemy.
• Statystykę odsłon (pkt 3 i 5) przechowujemy wyłącznie w postaci niepozwalającej na identyfikację użytkownika (zagregowane odsłony podstron); okresowo usuwamy starsze wpisy.
• Dziennik audytu logowań przechowujemy przez 90 dni, po czym wpisy są automatycznie usuwane; adres IP zapisujemy wyłącznie w postaci zanonimizowanego prefiksu sieci (nigdy pełnego adresu).
• Dni korzystania z Serwisu (pkt 3) przechowujemy przez 90 dni (tyle obejmuje statystyka: 12 tygodni i tydzień przed pierwszym z nich), po czym wpisy są automatycznie usuwane przez codzienne zadanie czyszczące.
• Zbuforowane wyniki AI przechowujemy przez krótki okres i usuwamy automatycznie: zbuforowane podsumowanie — po 7 dniach od utworzenia, a zanonimizowany wynik analizy wiadomości i ogłoszeń — po 30 dniach od utworzenia (codzienne zadanie czyszczące). Niezależnie od tego samo podsumowanie przestaje być używane po 24 godzinach (mechanizm TTL). Bufory te można również usunąć w odniesieniu do danego dziecka.
• Kopię wiadomości oraz ogłoszeń (mirror skrzynki i feedu ze szkoły) przechowujemy w bazie Serwisu, aby umożliwić oznaczanie ich jako przeczytane oraz szybszy dostęp; obejmuje ona wiadomości/ogłoszenia od określonej daty wzwyż i jest usuwana wraz z usunięciem danych Użytkownika. Przy ogłoszeniu trzymamy też listę dotyczonych dzieci z rodziny. Starsze wiadomości i ogłoszenia (sprzed tej daty) oraz wiadomości wysłane przez Użytkownika nie są przechowywane w bazie Serwisu — pobieramy je na żądanie, na bieżąco z systemu źródłowego (Extranet) i wyświetlamy bez zapisywania kopii (te starsze ogłoszenia nie są też przekazywane do AI — analiza obejmuje tylko zmirrorowany feed).
• Zadania (TODO) wyłuskane z wiadomości, ogłoszeń i opisów zajęć w zapisach przez AI przechowujemy w bazie Serwisu wraz z ich statusem (do wykonania / zrobione / odrzucone) i powiązaniem z dzieckiem oraz wiadomością/ogłoszeniem/zajęciami źródłowymi; są usuwane wraz z usunięciem danych Użytkownika. Zadanie z opisu zajęć przestaje być widoczne z chwilą wypisania dziecka z tych zajęć (tak samo zadanie z ogłoszenia przeznaczone tylko dla zapisanych na zajęcia), a gdy szkoła zmieni opis, jest wyznaczane na nowo (poprzednie statusy takiego zadania są wtedy usuwane). Wynik analizy AI buforujemy w postaci zanonimizowanej (bez imion), co pozwala nie wywoływać modelu ponownie dla tej samej, masowo wysłanej treści; sam bufor usuwamy po 30 dniach (punkt o zbuforowanych wynikach AI wyżej), a usunięcie go nie kasuje żadnego zadania.
• Odczytane terminy zajęć dodatkowych (pkt 5) przechowujemy w bazie Serwisu raz dla całej szkoły, przy danych zajęciach: kopię tekstu szkoły, z którego je odczytano (pozbawioną identyfikatorów bezpośrednich), oraz same daty. Nie ma tam żadnych danych Użytkownika ani dziecka, więc wpis nie jest powiązany z żadnym kontem i nie znika wraz z usunięciem danych Użytkownika — dotyczy oferty szkoły, a nie rodziny. Gdy szkoła zmieni opis zajęć, termin jest odczytywany na nowo, a poprzedni wynik usuwany.
• Rozmowy z asystentem konwersacyjnym (pytania Użytkownika o dane jego rodziny oraz odpowiedzi asystenta) przechowujemy w bazie Serwisu, aby zachować historię rozmowy, przez 150 dni od utworzenia, po czym są automatycznie usuwane; Użytkownik może też usunąć rozmowę wcześniej. Do modelu AI (Anthropic) przekazujemy treść rozmowy wyłącznie po anonimizacji (bez imion i danych kontaktowych), a dane szczególne (np. zdrowotne) i finansowe nie są udostępniane asystentowi. Rozmowy są usuwane także wraz z usunięciem danych Użytkownika.
• Zapisane plany nauki (harmonogram sesji metodą Pomodoro, który asystent układa na prośbę Użytkownika, aby udostępnić go do wydruku w formacie PDF) przechowujemy w bazie Serwisu wyłącznie dla danego konta. Plan zawiera przedmioty, tematy nauki i imię dziecka (drukowane lokalnie w nagłówku, nie przekazywane do modelu AI), przez 150 dni od utworzenia, po czym jest automatycznie usuwany; usuwamy je także wraz z usunięciem danych Użytkownika.
• Zapisane plany zaległości (kartka „co nadrobić po nieobecności", którą asystent składa na prośbę Użytkownika, aby udostępnić ją do wydruku w formacie PDF) przechowujemy w bazie Serwisu wyłącznie dla danego konta, przez 150 dni od utworzenia, po czym są automatycznie usuwane; usuwamy je także wraz z usunięciem danych Użytkownika. Kartka zawiera dni, w których dziecko było nieobecne, przedmioty i zakres materiału z opuszczonych lekcji (tematy, strony podręcznika i ćwiczeń, zadania domowe — tak, jak wpisali je nauczyciele) oraz imię dziecka (drukowane lokalnie w nagłówku, nie przekazywane do modelu AI). Do modelu AI przekazujemy materiał lekcyjny wyłącznie po anonimizacji (dziecko jako alias), a model porządkuje i scala to, co zapisała szkoła — nie dopisuje własnych treści. Powód nieobecności podany przez opiekuna i nazwy załączonych do zgłoszenia plików NIE są przekazywane do AI i nie ma ich na kartce — bywają informacją o zdrowiu dziecka (pkt 8); do kartki trafia wyłącznie fakt, że dany dzień był zgłoszony. Gotowa kartka dla tego samego dziecka i tego samego zakresu dat jest zapamiętana i wydawana ponownie, więc kolejne pytanie o ten sam okres nie uruchamia modelu.
• Ustawienia profilu (wyświetlane imię, kolor przypisany do dziecka oraz kolejność, w jakiej konto ogląda zamknięte zadania) przechowujemy w bazie Serwisu wyłącznie dla danego konta — personalizują one tylko widok tego Użytkownika i nie zmieniają danych w Extranecie źródłowym ani profilu innego konta. Przechowujemy je do czasu ich zmiany lub usunięcia danych Użytkownika i nie przekazujemy ich do AI.
• Przypomnienia o obiadach dla danego dziecka (włączone / wyłączone) są jedynym ustawieniem profilu wspólnym dla kont: zapisujemy je przy dziecku, a nie przy koncie, bo odpowiadają na pytanie „czy to dziecko przynosi obiad z domu", które nie zależy od tego, kto patrzy. Wyłączenie przez opiekuna wycisza przypomnienie także w koncie ucznia i odwrotnie. Ustawienie zmienia opiekun zawsze, a uczeń tylko w liceum (ta sama zasada, która pozwala licealiście zapisać się na zajęcia). Zapisujemy przy nim rodzaj i identyfikator konta, które ostatnio je zmieniło — wyłącznie po to, aby móc odpowiedzieć na pytanie „dlaczego przestały przychodzić przypomnienia". Przechowujemy je do czasu zmiany lub usunięcia danych Użytkownika i nie przekazujemy ich do AI.
• Informację o dostarczeniu świadectwa (datę pierwszego otwarcia lub pobrania danego świadectwa przez Użytkownika) przechowujemy w bazie Serwisu wyłącznie dla danego konta, aby odnotować fakt zapoznania się ze świadectwem dziecka. Pobranie pliku PDF przez opiekuna odnotowujemy dodatkowo w Extranecie źródłowym (data odbioru świadectwa — pkt 3a); samo otwarcie świadectwa na ekranie i pobranie przez ucznia zapisujemy wyłącznie u siebie. Sama data odbioru jest widoczna dla asystenta konwersacyjnego (wykaz świadectw: rok, okres, czy jest dostępne i kiedy zostało odebrane) — treść świadectwa nigdy. Przechowujemy ją do czasu usunięcia danych Użytkownika.
• Cele egzaminów próbnych (docelowy wynik procentowy ustawiony dla ucznia w danym przedmiocie i poziomie) przechowujemy w bazie Serwisu jako cel danego ucznia. Ustawia go i zmienia wyłącznie sam uczeń na swoim koncie, tak jak w Extranecie źródłowym; opiekun cel widzi, ale go nie zmienia. Wartość początkowa może pochodzić z Extranetu źródłowego (tylko odczyt), ale zmiany zapisujemy wyłącznie w bazie Serwisu (nie zmieniamy danych w Extranecie). Cel procentowy trafia do asystenta konwersacyjnego razem z wynikami egzaminów próbnych (pkt 8), aby mógł zestawić wynik z założonym celem; przechowujemy go do czasu zmiany, wyczyszczenia lub usunięcia danych Użytkownika.
• Dziennik operacji zapisu w Extranecie źródłowym (pkt 3a) przechowujemy przez 12 miesięcy od operacji, po czym wpisy usuwamy; usuwamy je także wraz z usunięciem danych Użytkownika. Przy dołączonym pliku wpis zawiera identyfikatory, rozmiar pliku i skrót SHA-256 wyliczony z nazwy i treści pliku; samego pliku Serwis nie przechowuje wcale (przechodzi przez Serwis wyłącznie w drodze do Extranetu źródłowego).
• Propozycje wpisów dyktowanych przez nauczyciela wraz z jego ocenami i danymi o urządzeniu (pkt 3) przechowujemy przez 90 dni od przygotowania, po czym są automatycznie usuwane przez codzienne zadanie czyszczące, także wtedy, gdy nauczyciel ich nie zapisał ani nie ocenił. Zapisany wpis żyje dalej w Extranecie źródłowym (pkt 3a), według zasad szkoły.
• Sprawdzenia zapisanych wpisów wobec zasad dodawania sygnałów (pkt 3: kody zasad i zaszyfrowane wskazówki) przechowujemy przez 90 dni od sprawdzenia, po czym są automatycznie usuwane przez to samo zadanie; sprawdzenie propozycji jest usuwane razem z nią.
• Informację o ukończeniu szkolenia przed pierwszym wpisem (pkt 3: wersja i chwila, bez odpowiedzi) przechowujemy dla konta nauczyciela, dopóki korzysta ono z funkcji „Sygnały i zachowanie”; ukończenie nowszej wersji zastępuje poprzednie. Usuwamy ją wraz z usunięciem danych Użytkownika (okres do potwierdzenia).
• Informację o ukończeniu szkolenia przed pierwszą opinią (pkt 3: wersja i chwila, bez odpowiedzi) przechowujemy dla konta nauczyciela, dopóki pisze ono opinie przed spotkaniami tutorskimi; ukończenie nowszej wersji zastępuje poprzednie. Usuwamy ją wraz z usunięciem danych Użytkownika (okres do potwierdzenia).
• Chwilę pierwszej poprawki opinii z AI (pkt 3: przy prośbie o opinię, bez treści) przechowujemy razem z prośbą o opinię i usuwamy wraz z nią.
• Statystykę podanych nazwisk (pkt 3) przechowujemy przez 365 dni, po czym jest automatycznie usuwana; nie zawiera identyfikatora nauczyciela ani żadnej treści.
• Odpowiedzi na sondy o aplikacji przechowujemy do czasu podjęcia decyzji, której sonda dotyczyła, i usuwamy razem z sondą; usunięcie sondy kasuje wszystkie zebrane w niej odpowiedzi.
• Zgłoszenia uwag przechowujemy do czasu ich obsłużenia i przez okres wynikający z prawnie uzasadnionego interesu Administratora.
• Oceny odpowiedzi asystenta wraz z zanonimizowaną kopią rozmowy przechowujemy tak długo jak samą rozmowę: najwyżej 150 dni od jej utworzenia. Usunięcie rozmowy w historii usuwa także ocenę i kopię (tak samo przy usunięciu danych Użytkownika), co jest zarazem sposobem na wycofanie zgody na ich przekazanie. Datę zaznaczenia „Nie pytaj więcej” przechowujemy, dopóki Użytkownik jej nie wycofa („Pytaj przed każdą oceną” pod oknem asystenta) albo do usunięcia jego danych.
• E‑mail z podsumowaniem codziennego przeglądu zgłoszeń uwag i ocen odpowiedzi (pkt 5), który cytuje treść zgłoszenia oraz ocenioną odpowiedź i pytanie przed nią w postaci zanonimizowanej, przechowujemy najwyżej 150 dni od jego wysłania. Usunięcie rozmowy albo zgłoszenia w Serwisie nie usuwa tego e‑maila wcześniej.

Administrator nie wykorzystuje danych Użytkowników do trenowania modeli AI.

8. Dane zdrowotne i sztuczna inteligencja

Dane dotyczące zdrowia (alergie, orzeczenia, notatki i informacje zdrowotne) to dane szczególnej kategorii (art. 9 RODO). Dotyczy to dedykowanych pól i słowników zdrowotnych w danych ucznia. W Serwisie:

• są wyświetlane uprawnionym osobom bez udziału AI,
• nigdy nie są przekazywane do modelu AI ani poddawane zautomatyzowanemu przetwarzaniu przez AI (dotyczy to także diagnostyki technicznej z pkt 5: zapytanie, które wymienia pole zdrowotne, jest odrzucane, zanim trafi do bazy),
• nie są kopiowane do bazy aplikacji w zakresie wykraczającym poza niezbędne wyświetlenie.

Tak samo traktujemy plik, który opiekun dołącza do usprawiedliwienia (np. zwolnienie lekarskie albo jego zdjęcie): Serwis przekazuje go do Extranetu źródłowego, nie przechowuje go, a ani jego treści, ani nazwy nie przekazuje do AI (pkt 3a, akapit „Załączniki”).

Przed każdym wywołaniem modelu AI dane identyfikujące (imiona, nazwiska, PESEL, adresy, dane kontaktowe) są anonimizowane (zastępowane aliasami); odtworzenie danych następuje wyłącznie po stronie Serwisu. Jak działa to przy wpisach dyktowanych przez nauczyciela i czego maskowanie tam nie obejmuje, opisuje akapit „Wpisy dyktowane przez nauczyciela” niżej.

Dotyczy to także osób spoza rodziny użytkownika. Szkolne ogłoszenia, wiadomości i opisy zajęć bywają pełne cudzych nazwisk (grafik dyżurów, przydział zadań, prowadzący zajęcia), więc przed wywołaniem modelu Serwis rozpoznaje je po indeksie nazwisk opisanym w pkt 3 i zastępuje aliasem [PERSON1], [PERSON2] i tak dalej. Alias taki nie jest nigdy odtwarzany do prawdziwego nazwiska: jeżeli pojawi się w wyniku, użytkownik zobaczy neutralne „inna osoba", a pełne brzmienie szkolnego tekstu ma i tak w podglądzie źródła. Dzięki temu z treści, którą rodzina i tak czyta w Extranecie, do dostawcy modelu nie wychodzi nazwisko żadnego cudzego dziecka ani nauczyciela.

W tekstach kierowanych do całej szkoły — ogłoszeniach i opisach zajęć z modułu Zapisy — idziemy o krok dalej: maskujemy każdą wymienioną osobę, także dziecko użytkownika, i to również wtedy, gdy szkoła użyła samego imienia albo zdrobnienia („Hania" zamiast „Hanna"). Powód jest prosty: jedną analizę takiego tekstu widzą wszystkie rodziny, do których ogłoszenie trafiło, więc nie może ona być zrobiona pod kątem tej rodziny, której komputer wykonał ją pierwszy. Imię dziecka wraca dopiero przy wyświetleniu, po stronie Serwisu.

Dane wyłączone z przekazywania do AI. Poza dedykowanymi polami zdrowotnymi do modelu AI nie trafiają w ogóle: dane finansowe rodziny, kod dostępu do szkoły (karta/Roger Mobile Key), dane kontaktowe innych rodziców z katalogu ROK Box, dane osób upoważnionych do odbioru dziecka (w tym numer dokumentu tożsamości i telefon), adres zamieszkania dziecka wraz z jego imionami (patrz pkt 3 — dane podstawowe), zgody dotyczące opieki zdrowotnej i wsparcia specjalistycznego, status deklaracji religia/etyka, treść świadectw, zdjęcia (galerie wydarzeń, zdjęcia nauczycieli, zdjęcia profilowe opiekunów, zdjęcia uczniów z legitymacji), tematy spotkań z tutorem, ustalenia tutora (w tym czas trwania), tytuły i opisy terminów oraz zapisane opinie nauczycieli przed spotkaniem tutorskim — to notatki, które często dotyczą samopoczucia i zdrowia dziecka, więc traktujemy je jak pola zdrowotne (jedyny wyjątek: tekst opinii, którą nauczyciel właśnie pisze, wysłany przez niego do poprawy, akapit „Opinie poprawiane z AI” niżej) —, treść odpowiedzi na prace domowe, nazwy i treść ich plików oraz komentarz nauczyciela do odpowiedzi (asystent zna wyłącznie liczbę odpowiedzi i plików, datę ostatniej odpowiedzi i to, czy jest komentarz) oraz treść plików z „Materiałów do pobrania" — z jednym wyjątkiem opisanym niżej: tekstu załączników PDF ogłoszeń. Asystent konwersacyjny korzysta wyłącznie z zakresu opisanego przy poszczególnych kategoriach w pkt 3.

Notatki tutoringu w bazie Serwisu. Tematy spotkań, ustalenia tutora, tytuły i opisy terminów oraz opinie nauczycieli traktujemy wobec AI jak pola zdrowotne, ale inaczej niż dedykowane pola zdrowotne, które tylko wyświetlamy, Serwis je przechowuje: od przeniesienia tutoringu placówki to Serwis prowadzi jego zapisy (pkt 3). Przechowujemy je zaszyfrowane kluczem Serwisu, pokazujemy wyłącznie osobom wskazanym w pkt 3 i nigdy nie przekazujemy ich do AI. Wyjątek opisany w akapicie „Opinie poprawiane z AI” niżej dotyczy wyłącznie tekstu, który nauczyciel sam wysyła z pola opinii, a nie opinii zapisanej w bazie.

Wpisy dyktowane przez nauczyciela. To inna funkcja niż opinie przed spotkaniem tutorskim: opinia jest poufną notatką dla tutora, a dyktowany tekst krótkim opisem zdarzenia (co uczeń zrobił), który staje się wpisem w dokumentacji szkoły i który rodzina i tak przeczyta jako sygnał albo punkty z zachowania. Dlatego tekst wpisu, który nauczyciel podyktuje, Serwis może przekazać do modelu AI, ale dopiero po trzech krokach wykonanych po swojej stronie: (1) sprawdza, czy w tekście są słowa o zdrowiu (urazy, ból, choroby, leki, lekarz i pielęgniarka, zdrowie psychiczne, orzeczenia i niepełnosprawność, ciąża, substancje, a także zwolnienie z religii); jeśli są, tekst nie trafia do AI i nie jest zapisywany, a nauczyciel może go poprawić albo dodać wpis bez AI; (2) zastępuje aliasami imiona i nazwiska, które rozpoznaje w spisie uczniów i pracowników placówek nauczyciela oraz w indeksie nazwisk całej szkoły (pkt 3), także imiona, które nauczyciel może podać; rozpoznaje je w każdej odmianie, pisane wielką albo małą literą, także bez polskich znaków. Imię albo nazwisko, które jest zarazem zwykłym słowem (np. „Maja", „Tomek", „Nowak", „Kot"), pisane wielką literą traktuje jak imię albo nazwisko, a pisane małą literą tylko wtedy, gdy obok stoi klasa („maja z 3P", „nowak z 3P", także „maja z liceum") albo, przy imieniu, nazwisko ucznia; nazwiska usuwa, zanim tekst wyjdzie do modelu, także nazwisko osoby po „pan" albo „pani", która nie jest pracownikiem szkoły (np. rodzica); (3) maskuje numery telefonów, adresy e‑mail i PESEL. Do modelu trafia tekst z aliasami, przy każdym aliasie rodzaj gramatyczny (płeć ucznia albo uczniów, których alias może dotyczyć, wzięta z Extranetu źródłowego), lista klas i katalog rodzajów sygnałów i kategorii punktów szkoły; nie trafia nic o koncie nauczyciela. Model ma dodatkowo zgłosić, gdy w tekście zostało nazwisko albo informacja o zdrowiu; przy informacji o zdrowiu Serwis odrzuca propozycje i nie zapisuje odpowiedzi modelu. W treści propozycji Serwis nie odtwarza numerów telefonów, adresów e‑mail ani numerów PESEL, ucznia, którego wpis dotyczy, nazywa „uczeń” albo „uczennica”, a imiona i nazwiska innych uczniów i osób zastępuje słowami „inny uczeń”, „inna uczennica” albo „inna osoba”. Wraca do niej tylko imię albo nazwisko pracownika szkoły, które nauczyciel podał (np. „pani Lis”), i to wyłącznie wtedy, gdy Serwis zna je jako imię albo nazwisko pracownika; taką treść nauczyciel sprawdza przed zapisem.

Mimo to pozostają dwa ryzyka resztkowe, które opisujemy wprost. Po pierwsze, imię albo nazwisko, którego nie zna żaden spis (przekręcone przy dyktowaniu bardziej, niż obejmują odmiana i zdrobnienia, imię rodzica albo osoby spoza szkoły), imię albo nazwisko będące zwykłym słowem, napisane małą literą bez klasy i bez nazwiska obok („nowak przeszkadzał”, „maja rację”), a także nazwisko osoby spoza uczniów nauczyciela, które jest zwykłym słowem i otwiera zdanie, trafią do modelu tak, jak zostały napisane, razem z nazwą klasy, jeśli padła. Po drugie, informacja o zdrowiu ujęta słowami, których nie rozpozna ani filtr, ani model, trafi do modelu i do zaszyfrowanych propozycji przechowywanych przez 90 dni (pkt 7): filtr rozpoznaje typowe słowa i ich odmiany, ale nie wszystkie (np. „kuleje”, „problemy z sercem”). Ograniczamy oba ryzyka trybem zero‑retention i bez trenowania modeli u dostawcy, instrukcją nad polem tekstu (gdy w jej miejscu stoi zielona zachęta z podsumowaniem ostatnich 7 dni, pkt 3, zasady przypominają obowiązkowe szkolenie przed pierwszym wpisem i czerwone ostrzeżenie po rozpoznaniu nazwiska) i zasadą z Regulaminu (§ 8 ust. 5b). Oba czekają na ocenę prawną (zob. „do doprecyzowania”), a do jej zakończenia funkcja pozostaje wyłączona. Gotowy wpis zawsze zatwierdza nauczyciel. Gdy Serwis ma pewność, że w tekście padło nazwisko ucznia (np. obok imienia albo przed klasą), albo gdy nazwisko zgłosi model, nauczyciel zobaczy przypomnienie, a Serwis doliczy jedno zdarzenie do zbiorczej, dziennej statystyki bez identyfikacji nauczyciela (pkt 3). Nazwisko, które jest zarazem zwykłym słowem i otwiera zdanie, gdzie wielka litera nie zdradza, że to nazwisko, Serwis maskuje, ale nie liczy; to samo nazwisko z wielkiej litery w środku zdania („Na WF Wilk przeszkadzał”) liczy, chyba że nosi je też pracownik szkoły, a po nazwisku nie pada klasa.

Po zapisaniu wpisu (także wpisu dodanego bez AI) Serwis może przekazać do modelu AI treść zapisanego wpisu po tych samych trzech krokach (słowa o zdrowiu: wpis nie jest sprawdzany; aliasy zamiast imion i nazwisk; zamaskowane dane kontaktowe) wraz z faktami o wpisie bez imienia i nazwiska ucznia: rodzaj wpisu, rodzaj sygnału albo kategoria, wybrana waga, klasa, liczba wcześniejszych wpisów tego rodzaju od tego samego nauczyciela dla tego ucznia i waga, którą podpowiadał Serwis. Model odpowiada najwyżej dwiema wskazówkami na następny raz, każda z kodem zasady ze spisanych przez szkołę zasad dodawania sygnałów; część wskazówek (waga wobec liczby wcześniejszych wpisów, uogólniające słowa) Serwis daje sam, bez modelu. Wskazówka nie zmienia zapisanego wpisu, a oznaczenie w nawiasie, które model powtórzy, Serwis zastępuje słowem „uczeń” albo „inna osoba”, nigdy imieniem.

Zgłoszenia uwag z konta nauczyciela. Zgłoszenie o działaniu aplikacji, które nauczyciel napisze w portalu, obsługuje ten sam agent AI co zgłoszenia rodzin, ale tekst przechodzi wcześniej przez te same kroki co wpis dyktowany (wyżej): Serwis sprawdza słowa o zdrowiu (zgłoszenie, w którym są, jest zapisywane, ale nie trafia do AI), zastępuje aliasami imiona i nazwiska rozpoznane w spisie uczniów i pracowników placówek nauczyciela i w indeksie nazwisk całej szkoły (także imię i nazwisko samego nauczyciela) oraz maskuje numery telefonów, adresy e‑mail i PESEL; całą rozmowę maskuje jednym przebiegiem, więc ta sama osoba ma ten sam alias w każdej wiadomości. W odpowiedzi agenta Serwis nie odtwarza imion: ucznia nazywa „uczeń” albo „uczennica”. Pozostają te same ryzyka resztkowe co przy wpisach dyktowanych (imię albo nazwisko, którego nie zna żaden spis, imię będące zwykłym słowem napisane małą literą, informacja o zdrowiu ujęta słowami spoza listy), dlatego nad oknem zgłoszenia stoi prośba, by nie wpisywać imion ani nazwisk i nie pisać o zdrowiu. Do modelu nie trafia nic o koncie nauczyciela.

Opinie poprawiane z AI. Nauczyciel, który pisze opinię przed spotkaniem tutorskim, przed jej zapisem co najmniej raz naciska „Popraw z AI” (decyzja Fundacji: każda opinia przechodzi przez asystenta). Tylko wtedy tekst z pola opinii trafia do modelu AI, po tych samych trzech krokach co wpis dyktowany: (1) Serwis sprawdza słowa o zdrowiu; jeśli są (np. nazwa choroby, diagnozy, leku), tekst nie trafia do AI, a Serwis prosi, zgodnie ze standardem opinii szkoły, o opis zachowania zamiast diagnozy; opinię z takimi słowami nauczyciel może nadal zapisać bez AI; (2) zastępuje aliasami imiona i nazwiska, które rozpozna (spis uczniów i pracowników placówek nauczyciela, indeks nazwisk całej szkoły); (3) maskuje numery telefonów, adresy e‑mail i PESEL. Do modelu trafia tekst z aliasami, informacja, który alias oznacza ucznia, o którym jest opinia, jego rodzaj gramatyczny (płeć z Extranetu źródłowego, gdy ją znamy) i przedmioty albo funkcja nauczyciela z prośby o opinię; nie trafiają oceny, frekwencja ani wpisy ucznia, nazwa klasy ani nic o koncie nauczyciela. Tekst opinii idzie do modelu jako trzy pola pod tytułami obszarów przyjętych przez szkołę (wyniki w nauce, zachowanie, interakcje społeczne i funkcjonowanie w klasie; puste pole jest oznaczone jako puste). Model odsyła poprawioną wersję w tych samych trzech polach (zdanie wpisane w pole innego obszaru przenosi tam, gdzie należy; w obszarze, o którym nauczyciel nic nie napisał, niczego nie dopisuje) i ocenę według listy kontrolnej szkoły (z krótkimi wskazówkami, czego brakuje); w pustym obszarze Serwis pokazuje na ekranie zdanie „Nie mam obserwacji w tym obszarze” (to słowa Serwisu: nie są zapisywane ani wysyłane do modelu), a gdy jakiegoś obszaru w opinii brakuje, pokazuje nauczycielowi, których obszarów nie ma, z pytaniami pomocniczymi ze standardu szkoły; część punktów listy (słowa uogólniające, skróty, termin) sprawdza sam Serwis, bez modelu. W poprawionej wersji Serwis wstawia z powrotem imię ucznia, którego dotyczy opinia, w formie użytej przez nauczyciela, a inne osoby nazywa „inny uczeń” albo „inna osoba”; telefonów, adresów e‑mail i numerów PESEL nie odtwarza. Serwis nie zapisuje ani wysłanego tekstu, ani odpowiedzi modelu: zostaje wyłącznie koszt wywołania (bez treści). Propozycja trafia do pola opinii dopiero wtedy, gdy nauczyciel ją przejmie („Kontynuuj edycję”), a opinię zapisuje on sam. Przy prośbie o opinię Serwis zapisuje jeszcze chwilę pierwszej poprawki, która się liczy (bez treści), bo dopiero ona dopuszcza zapis opinii. Liczy się poprawka z propozycją AI, a także próba zatrzymana przez Serwis z powodu słów o zdrowiu, próba, na którą model nie odpowiedział, i próba po wyczerpaniu miesięcznego limitu AI nauczyciela: awaria albo limit nie mogą zablokować opinii przed spotkaniem. Opinię dłuższą niż 4000 znaków nauczyciel zapisuje bez poprawki, bo asystent jej nie przyjmie. Gdy Serwis ma pewność, że w tekście padło nazwisko ucznia (np. obok imienia), albo gdy nazwisko zgłosi model, nauczyciel zobaczy przypomnienie, że w tekście wysyłanym do AI pisze się o uczniu tylko po imieniu, a o innych osobach bez nazwisk; przy opiniach Serwis takiego zdarzenia nie liczy ani nie zapisuje (inaczej niż przy wpisach dyktowanych). Przed pierwszą opinią nauczyciel przechodzi obowiązkowe, krótkie szkolenie z tych zasad i ze sprawdzania propozycji AI (pkt 3). Pozostają te same ryzyka resztkowe co przy wpisach dyktowanych (imię albo nazwisko, którego nie zna żaden spis; informacja o zdrowiu ujęta słowami spoza listy), przy czym opinia częściej niż wpis mówi o samopoczuciu ucznia, więc takich informacji może być w niej więcej; trafiłyby do modelu (w trybie zero‑retention, bez trenowania), ale nie do bazy Serwisu. Oba ryzyka czekają na ocenę prawną (zob. „do doprecyzowania”, pkt 43); funkcja działa razem z portalem nauczyciela.

Wyłączenie deklaracji religia/etyka dotyczy samego faktu wyboru (kategoria z art. 9 RODO — przekonania religijne). Oceny z religii pozostają dostępne dla funkcji AI na równi z ocenami z innych przedmiotów — są zwykłymi ocenami szkolnymi i ich pominięcie zniekształcałoby np. średnią czy podsumowanie tygodnia.

Baza wiedzy o szkole. Asystent może też przeszukiwać przygotowaną przez Administratora bazę wiedzy o szkole (organizacja dnia, mundurki, wyżywienie, terminy, pojęcia szkolne, dane kontaktowe placówki, a także zasady programu wychowawczego szkoły, np. czym jest sygnał i co znaczy jego waga). Są to informacje organizacyjne szkoły, a nie dane osobowe uczniów ani rodzin, więc zwracane fragmenty nie zawierają danych rodziny.

Treść wiadomości i ogłoszeń a AI. Aby wyłuskać zadania do wykonania, zanonimizowana treść wiadomości oraz ogłoszeń ze szkoły, a także opisy zajęć z modułu Zapisy, na które dziecko jest zapisane, są przekazywane do modelu AI. Przy ogłoszeniach model dodatkowo tworzy krótkie streszczenie tematu (kilka słów), które prezentujemy w podsumowaniu dnia jako listę nowych ogłoszeń (np. „Pojawiły się nowe ogłoszenia o…"); powstaje ono z tej samej, zanonimizowanej treści i jest buforowane wraz z wynikiem analizy zadań. To wolny tekst pisany przez człowieka, więc może incydentalnie zawierać informacje o zdrowiu (np. „proszę pamiętać o leku dziecka"). Nie stosujemy obecnie automatycznego odfiltrowywania takich treści przed wysłaniem do modelu — ograniczamy ryzyko przez anonimizację danych identyfikujących oraz tryb zero‑retention / bez trenowania modeli u dostawcy. Jest to świadomie zaakceptowane ryzyko resztkowe, podlegające rewizji po pełnej analizie prawnej (zob. „do doprecyzowania"). Nie dotyczy to dedykowanych pól zdrowotnych, które do AI nie trafiają.

Tekst załączników PDF ogłoszeń a AI. Szkoła często umieszcza treść ogłoszenia w załączniku (regulamin wycieczki, lista rzeczy do zabrania, harmonogram, godziny zbiórek). Serwis przetwarza taki plik na tekst po swojej stronie, bez udziału AI (plik nie opuszcza Serwisu, skanów nie rozpoznajemy — bez OCR), a następnie — po tej samej anonimizacji, co treść ogłoszenia (imiona dzieci rodziny zastępowane aliasami, PESEL, telefon i e‑mail maskowane bezwarunkowo) — udostępnia ten tekst asystentowi konwersacyjnemu na pytanie Użytkownika. Tekst nie jest przekazywany do modelu przy samym pobraniu pliku ani przy przeglądaniu ogłoszeń.

Jak każdy dokument pisany przez człowieka, taki załącznik może zawierać dane innych osób (np. listę uczestników wycieczki z imionami dzieci z innych rodzin). Anonimizacja rozpoznaje imiona dzieci rodziny zadającej pytanie, a bezwarunkowo maskuje PESEL, numery telefonów i adresy e‑mail; imiona osób spoza rodziny mogą więc trafić do modelu, tak samo jak dziś w treści wiadomości i ogłoszeń. Ryzyko ograniczamy trybem zero‑retention i bez trenowania modeli u dostawcy; jest to świadomie zaakceptowane ryzyko resztkowe, zgłoszone do analizy prawnej (zob. „do doprecyzowania").

9. Zautomatyzowane podejmowanie decyzji i profilowanie

Serwis nie podejmuje wobec Użytkowników decyzji wywołujących skutki prawne lub w podobny sposób istotnych, opartych wyłącznie na zautomatyzowanym przetwarzaniu (w tym profilowaniu). Funkcje AI mają charakter wspierający i informacyjny, a ich wyniki są oznaczane jako wygenerowane przez AI. Propozycje wpisów oznaczamy tak samo dla nauczyciela; wpis, który nauczyciel z takiej propozycji zapisze, jest jego wpisem (sprawdził go, mógł poprawić i zatwierdził), więc rodzina widzi go jak każdy inny wpis nauczyciela, bez oznaczenia AI.

Brak profilowania. Serwis nie tworzy profili osób: nie buduje ocen ryzyka, nie prognozuje wyników nauczania, nie segmentuje uczniów ani nie personalizuje treści na podstawie wnioskowanych cech. Nie wnioskuje też o stanie emocjonalnym Użytkownika. Oceny, oceny przewidywane i punkty za zachowanie pochodzą od nauczycieli — AI ich nie wystawia, nie zmienia i nie przelicza. Przy wpisach dyktowanych przez nauczyciela AI może zaproponować kategorię wpisu i przepisać liczbę punktów, którą nauczyciel podyktował (Serwis z propozycji usuwa liczbę, której w podyktowanym tekście nie ma obok słowa o punktach albo znaku, np. „minus trzy”, „pięć punktów”, ani jako samej liczby, której nic innego w zdaniu nie wyjaśnia, np. „pięć za telefon”; numer klasy, data i godzina się nie liczą); ucznia, wpis, kategorię i liczbę punktów zatwierdza nauczyciel, a AI punktów nie sumuje ani nie przelicza. Wagę sygnału podpowiada Serwis, nie AI: z liczby wcześniejszych wpisów tego samego rodzaju, które ten sam nauczyciel dodał temu uczniowi w bieżącym roku szkolnym, według stałej, spisanej reguły szkoły (pierwszy wpis najniższa waga, każdy kolejny wyżej). W liceum tak samo podpowiada liczbę punktów z zachowania według systemu punktowego szkoły (pierwszy wpis kategorii to początek zakresu punktów, kolejne coraz bliżej jego końca). Model nie dostaje historii wpisów ucznia ani tej liczby przy przygotowaniu propozycji, a nauczyciel wybiera wagę i liczbę punktów sam. To podpowiedź do decyzji człowieka o jednym wpisie, nie ocena ucznia; czy nie jest profilowaniem w rozumieniu art. 4 pkt 4 RODO, sprawdza analiza prawna (do doprecyzowania 36.15 i 36.18). Dane Użytkowników nie są wykorzystywane do trenowania modeli AI.

Wpisy w Extranecie źródłowym. Dotyczy to również zapisów opisanych w pkt 3a: żadnego z nich nie inicjuje model. Kanał zapisu obsługują wyłącznie powierzchnie sterowane przez Użytkownika, a narzędzia asystenta pozwalają jedynie czytać dane. Propozycja wpisu przygotowana przez AI nie jest wpisem: wpis powstaje dopiero po zatwierdzeniu przez nauczyciela. Tak samo jest z zapisami tutoringu przechowywanymi przez Serwis: asystent ich nie tworzy ani nie zmienia, nie umawia i nie odwołuje spotkań.

Informacja w rozumieniu AI Act. Administrator jest dostawcą systemu AI w rozumieniu rozporządzenia (UE) 2024/1689; modele językowe dostarcza Anthropic PBC (rodzina modeli Claude), a model do generowania ilustracji zajęć — Google (Gemini); zob. pkt 5. Administrator ustalił, że Serwis nie jest systemem AI wysokiego ryzyka: nie ocenia efektów uczenia się, nie decyduje o dostępie do edukacji, nie monitoruje uczniów podczas egzaminów, nie profiluje i nie rozpoznaje emocji. Czy propozycje wpisów dyktowanych przez nauczyciela (propozycja kategorii zachowania, którą zatwierdza nauczyciel) nie zmieniają tej oceny, sprawdza analiza prawna; do jej zakończenia funkcja pozostaje wyłączona. Ta sama analiza obejmuje poprawianie opinii z AI (lista kontrolna standardu opinii szkoły, którą widzi tylko piszący nauczyciel i której Serwis nie zapisuje), które działa razem z portalem nauczyciela. Zamierzone przeznaczenie funkcji AI oraz ich znane ograniczenia opisuje Regulamin § 7; błędną treść wygenerowaną przez AI można zgłosić tą samą drogą co pozostałe uwagi o działaniu Serwisu.

10. Pliki cookies

Serwis wykorzystuje wyłącznie pliki cookies niezbędne do jego działania — służące uwierzytelnianiu i utrzymaniu sesji zalogowanego Użytkownika. Serwis nie stosuje cookies analitycznych, marketingowych ani cookies podmiotów trzecich.

Serwis pozwala utrzymać w jednej przeglądarce kilka odrębnych sesji jednocześnie — konto opiekuna oraz konta jednego lub większej liczby uczniów (np. gdy z jednego urządzenia korzysta rodzic i kilkoro dzieci), a także jedno konto nauczyciela (np. gdy nauczyciel jest jednocześnie rodzicem) — bez wzajemnego wylogowywania. Zalogowanie innego konta nauczyciela wylogowuje poprzednie, a jego sesję unieważniamy także po stronie serwera. Każde konto ma osobne pliki cookies sesji, nazwane wg jego tożsamości (<principal>_<identyfikator>), a Użytkownik przełącza aktywne konto w interfejsie Serwisu (Serwis przełącza je także sam, gdy Użytkownik otworzy z linku, np. z e-maila, stronę należącą do innego zalogowanego konta):

Cookies te są niezbędne do świadczenia usługi żądanej przez Użytkownika (logowanie i korzystanie z Serwisu), dlatego — zgodnie z przepisami o ochronie danych i prywatności w łączności elektronicznej — nie wymagają zgody w postaci banera cookies. Użytkownik może zarządzać plikami cookies w ustawieniach przeglądarki; zablokowanie cookies niezbędnych uniemożliwia zalogowanie i korzystanie z Serwisu. Gdyby w przyszłości wprowadzono cookies inne niż niezbędne (np. analityczne), Serwis poprosi o zgodę przed ich użyciem.

Statystyka odsłon działa bez cookies. Narzędzie statystyki (pkt 5) nie zapisuje ani nie odczytuje żadnych informacji na urządzeniu Użytkownika — nie używa cookies, localStorage ani innych identyfikatorów przechowywanych w przeglądarce, nie zbiera adresu IP i nie tworzy profilu Użytkownika. Z tego względu nie jest objęte obowiązkiem zgody, o którym mowa w art. 173 Prawa telekomunikacyjnego, i nie wymaga banera. Dodatkowo Serwis po wejściu usuwa z paska adresu parametry kampanii (utm_*), aby skopiowany przez Użytkownika odnośnik ich nie zawierał.

Dane o urządzeniu przy wpisach dyktowanych. Nazwę i wersję systemu oraz przeglądarki (pkt 3) Serwis odczytuje z nagłówka, który przeglądarka wysyła sama z każdym żądaniem. Serwis nie uruchamia w tym celu na urządzeniu żadnego kodu, nie zapisuje na nim niczego i nie odczytuje z niego innych informacji.

Pamięć lokalna przeglądarki (localStorage i sessionStorage)

Serwis zapisuje też niewielką ilość danych w pamięci lokalnej przeglądarki (localStorage oraz sessionStorage) — wyłącznie w celach funkcjonalnych i bez przekazywania ich do serwera Serwisu ani podmiotów trzecich. Dwa wpisy to same znaczniki, bez danych osobowych; trzeci przechowuje tekst, który Użytkownik sam wpisuje, zanim go wyśle albo zapisze:

Wpisy te są niezbędne do działania tych funkcji, pozostają na urządzeniu Użytkownika i mogą zostać w każdej chwili usunięte przez wyczyszczenie danych przeglądarki (wpisy sesyjne znikają same z chwilą zamknięcia karty lub aplikacji; przeglądarka może je odtworzyć tylko razem z kartą, którą sama przywraca, np. po awarii).

Szkice tekstu. Szkic widzi wyłącznie konto, na którym go wpisano: gdy w jednej przeglądarce jest zalogowanych kilka kont (akapit wyżej), szkic opiekuna nie pokaże się na koncie ucznia ani nauczyciela. Wylogowanie ostatniego konta usuwa wszystkie szkice, a przy każdym otwarciu strony, gdy ktokolwiek jest zalogowany, Serwis usuwa szkice kont, które nie są już zalogowane w tej przeglądarce (np. po wylogowaniu jednego z kont albo po zalogowaniu innego nauczyciela). Szkice nie trafiają do serwera Serwisu ani do AI: Serwis otrzymuje tekst dopiero wtedy, gdy Użytkownik go wyśle albo zapisze. Szkic wpisu dyktowanego w portalu nauczyciela (sygnały i punkty z zachowania) i szkic wpisu dodawanego bez AI dotyczą ucznia: zawierają to, co nauczyciel podyktował albo wpisał, czyli imiona uczniów, a czasem także nazwisko albo informację o zdrowiu (w tekście dyktowanym wbrew zasadom dyktowania). Szkic dyktowanego tekstu Serwis usuwa z karty, gdy przygotuje z niego propozycje (od tej chwili tekst przechowuje Serwis, z rozpoznanymi nazwiskami zastąpionymi znacznikiem, pkt 3), gdy nauczyciel wybierze „Wyczyść” albo usunie tekst z pola; szkic wpisu bez AI, gdy wpis zostanie zapisany. Tekst, którego Serwis z powodu słów o zdrowiu nie przekazał do AI, zostaje w karcie, dopóki nauczyciel go nie wyczyści albo nie zamknie karty. Serwis go u siebie nie zapisuje (pkt 3).

11. Prawa osób, których dane dotyczą

Osobie, której dane dotyczą, przysługują prawa: dostępu do danych, sprostowania, usunięcia („prawo do bycia zapomnianym" — w zakresie danych przechowywanych przez Serwis), ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, a także prawo do cofnięcia zgody (jeżeli przetwarzanie opiera się na zgodzie) bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem.

W celu realizacji praw należy skontaktować się z Administratorem (pkt 1). Żądania dotyczące korekty danych merytorycznych (np. ocen, frekwencji) realizuje szkoła w Extranecie źródłowym, ponieważ dane te wprowadza i koryguje szkoła, a Serwis nie ma uprawnień, by je zmienić (pkt 3a).

Zapisy tutoringu przechowywane przez Serwis (pkt 3) mają za administratora Fundację (pkt 5): żądania ich dotyczące (dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie) kieruje się do Administratora (pkt 1). Zapisy tutoringu z lat sprzed przeniesienia placówki, które zostały w Extranecie źródłowym, prowadzi szkoła.

Dane, które Serwis zapisał w Extranecie źródłowym na Twoje żądanie (pkt 3a) — wiadomość, odpowiedź na sygnał, zgoda, deklaracja, dane osoby upoważnionej do odbioru, dołączony plik, odpowiedź na pracę domową — po zapisaniu żyją już w systemie szkoły. To, co da się zmienić w Serwisie, zmienisz w nim ponownie (np. wycofać zgodę, usunąć osobę z listy upoważnionych, wypisać dziecko z zajęć, do początku lekcji poprawić odpowiedź na pracę domową albo usunąć z niej plik). Usunięcia lub sprostowania tego, czego Serwis nie może już nadpisać — w szczególności wysłanej wiadomości, dołączonego pliku (Serwis go nie przechowuje i nie może go usunąć; wyjątkiem jest plik odpowiedzi na pracę domową, który do początku lekcji usuniesz w Serwisie razem z jego kopią na serwerze szkoły), odpowiedzi na pracę domową po terminie i wpisów historycznych — żądasz od szkoły, bo to ona jest administratorem danych w tym systemie. Możemy Ci w tym pomóc (pkt 1) i pokazać, co i kiedy zapisaliśmy, na podstawie dziennika operacji.

Opinie nauczycieli przed spotkaniem tutorskim (pkt 3) Serwis rodzinie nie pokazuje — tak jak Extranet źródłowy. Nie ogranicza to prawa dostępu z art. 15 RODO: opinie przechowywane przez Serwis udostępnia na żądanie Administrator (pkt 1), a opinie z lat wcześniejszych, które zostały w Extranecie źródłowym, szkoła.

Sygnały i punkty z zachowania od nauczyciela zapisane w Extranecie źródłowym (pkt 3a) są wpisami w systemie szkoły: ich sprostowania albo usunięcia żąda się od szkoły (nauczyciel poprawia je i usuwa w Extranecie źródłowym). Propozycje wpisów przechowywane przez Serwis (pkt 3) udostępnia i usuwa na żądanie Administrator (pkt 1), w okresie ich przechowywania (90 dni).

12. Prawo do skargi

Osoba, której dane dotyczą, ma prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa) — jeżeli uzna, że przetwarzanie jej danych narusza przepisy RODO.

13. Bezpieczeństwo

Administrator stosuje środki techniczne i organizacyjne adekwatne do ryzyka, m.in.: dostęp do danych ograniczony do zakresu rodziny/ucznia (a dla nauczyciela do jego lekcji, jego spotkań tutorskich i aktywnych podopiecznych, próśb o opinię skierowanych do niego oraz uczniów, którym może dodać wpis (pkt 3), dla koordynatora tutoringu do placówek, których tutoring prowadzi Serwis) i egzekwowany po stronie serwera (zasady RLS), połączenia szyfrowane, dostęp do Extranetu źródłowego rozdzielony na dwa konta — odczyt kontem o uprawnieniach wyłącznie SELECT oraz zapis osobnym kontem, którego uprawnienia obejmują jedynie kolumny z zamkniętej listy z pkt 3a przy zmianie danych, jedynie wskazane tabele przy dodawaniu i usuwaniu wpisów oraz jeden wąski widok tabeli ustawień, przez który da się dodać i usunąć wyłącznie wiersz zamykający tutoring placówki (ograniczenie do dzieci własnej rodziny, a dla nauczyciela do uczniów prowadzonej lekcji albo, przy wpisach w części „Sygnały i zachowanie”, do uczniów z jego zakresu, wymusza sam Serwis), zapis plików dołączonych przez Użytkowników wyłącznie przez podpisaną bramkę plików Extranetu źródłowego, która przyjmuje plik tylko do katalogów załączników usprawiedliwień i wiadomości, nigdy nie nadpisuje istniejącego pliku i działa dopiero po włączeniu zapisu przez szkołę (Serwis przyjmuje plik tylko od autora dokumentu, który sam zapisał, sprawdza jego format po nazwie i zawartości i nie przechowuje go; pkt 3a), odczyt zdjęć uczniów z legitymacji przez tę bramkę bez możliwości ich zmiany albo usunięcia, anonimizacja danych przed AI, szyfrowanie danych w spoczynku po stronie dostawcy bazy, dodatkowe szyfrowanie kluczem Serwisu tekstu zapisów tutoringu (tytułów i opisów terminów, tematów, ustaleń i opinii) i propozycji wpisów dyktowanych przez nauczyciela oraz podpisane, wygasające adresy do plików (np. PDF). Administrator nie zapisuje danych wrażliwych w logach.

14. Zmiany Polityki prywatności

Polityka może być aktualizowana w razie zmian przepisów lub sposobu świadczenia usług. O istotnych zmianach informujemy poprzez Serwis. Aktualna wersja obowiązuje od dnia jej publikacji.