Палітыка прыватнасці

1. Адміністратар персанальных дадзеных

Адміністратарам персанальных дадзеных з’яўляецца Denys Nehometianov, які вядзе вэб-сайт Polski B1 (далей: «Сайт»), даступны па адрасе polishb1.pl, а таксама публікуе мабільнае прыкладанне Polski B1 для iOS / iPadOS (далей: «Прыкладанне»). Рэгістрацыйныя дадзеныя: Denys Nehometianov, адрас: ul. Zygmunta Krasińskiego 15a/3, 50-449 Wrocław, Polska, польскі падатковы нумар (NIP): 8992927401, электронная пошта: kontakt@polishb1.pl.

Кантакт: kontakt@polishb1.pl

Адміністратар не прызначыў Інспектара па ахове персанальных дадзеных.

2. Мэты і прававыя падставы апрацоўкі дадзеных (вэб-сайт)

Уліковы запіс на вэб-сайце (уваход)

Уваход і ўліковы запіс тычацца выключна вэб-сайта polishb1.pl — мабільнае прыкладанне па-ранейшаму працуе без уліковага запісу (гл. раздзел 3). Уваход з’яўляецца апцыянальным: практыкаваннямі з AI-ацэнкай можна карыстацца і без уліковага запісу, прайшоўшы кароткую праверку captcha (гл. «Функцыі AI для гасцей» ніжэй) — уваход здымае captcha; астатнія практыкаванні заўсёды працуюць без уваходу. Пасля ўваходу праз Google мы атрымліваем і захоўваем твой электронны адрас, імя, фота профілю і ідэнтыфікатар уліковага запісу Google, а таксама даты ўваходу і пацвярджэнне прыняцця Правіл і Палітыкі прыватнасці. Прававая падстава: арт. 6(1)(b) GDPR (прадастаўленне функцыі AI, якую ты запытваеш) і арт. 6(1)(a) GDPR (згода на ўваход).

Твой электронны адрас мы дадаткова захоўваем у выглядзе незваротнага хешу, каб прымяняць штодзённы ліміт AI-запытаў (40 на суткі на акаўнт) і прадухіляць злоўжыванні — арт. 6(1)(f) GDPR. Гэты хеш — псеўданімізаваныя дадзеныя (мы не называем яго ананімным) і застаецца, нават калі ты выдаліш і зноў створыш акаўнт, — каб такім чынам нельга было абнуліць дзённы ліміт. Аднак мы не захоўваем яго бестэрмінова: запіс аўтаматычна выдаляецца праз 90 дзён пасля твайго апошняга AI-запыту. Твае адказы і запісы адпраўляюцца ў OpenAI для ацэнкі без ніякага ідэнтыфікатара карыстальніка, гэтак жа як у дадатку. Дадзеныя акаўнта захоўваюцца да яго выдалення — ты можаш выдаліць яго на старонцы профілю або напісаўшы на kontakt@polishb1.pl.

Функцыі AI для гасцей — captcha Cloudflare Turnstile

Практыкаваннямі з AI-ацэнкай можна карыстацца і без уліковага запісу. Перад адпраўкай адказу як госць мы просім прайсці кароткую captcha (Cloudflare Turnstile), якая адрознівае людзей ад ботаў. Падчас праверкі Cloudflare, Inc. апрацоўвае тэхнічныя дадзеныя, такія як IP-адрас і сігналы браўзера і прылады; мы атрымліваем толькі аднаразовы токен пацверджання. Прававая падстава: арт. 6(1)(f) GDPR (законны інтарэс — абарона ад злоўжыванняў). Cloudflare, Inc. сертыфікаваная ў межах EU-U.S. Data Privacy Framework (арт. 45 GDPR; пацверджанне: https://www.cloudflare.com/privacypolicy/ і афіцыйны спіс https://www.dataprivacyframework.gov/list).

Каб ужываць штодзённы ліміт AI-запытаў для гасцей, мы ствараем незваротны хэш твайго IP-адраса (для IPv6 — сеткі /64) як тэхнічны ідэнтыфікатар лічыльніка — арт. 6(1)(f) GDPR; хэш немагчыма ператварыць назад у IP-адрас. Адказы і запісы гасцей трапляюць у OpenAI без ніякага ідэнтыфікатара карыстальніка — сама як у зарэгістраваных карыстальнікаў.

Каб гэты ліміт нельга было абысці ачысткай файлаў cookie, пры карыстанні функцыямі AI як госць твой браўзер дадаткова вылічвае два тэхнічныя ідэнтыфікатары прылады: (1) «адбітак браўзера» (fingerprint), створаны з характарыстык браўзера і прылады — у тым ліку спосабу адлюстравання графікі (canvas), спісу шрыфтоў, разрознасці экрана і часавага пояса (бібліятэка ThumbmarkJS), і (2) спрошчаны хеш з разрознасці экрана, суадносін пікселяў, платформы і часавага пояса. Абедзве велічыні — незваротныя хешы: з іх немагчыма аднавіць дадзеныя прылады ці ўстанавіць тваю асобу; мы не захоўваем іх на тваёй прыладзе (яны вылічваюцца ў памяці для кожнай сесіі). Мы выкарыстоўваем іх ВЫКЛЮЧНА як ключ штодзённага лічыльніка AI-запытаў і для абароны ад злоўжыванняў — ніколі для рэкламы, аналітыкі, прафілявання ці міжсайтавага сачэння; нікому іх не перадаём. Прававая падстава: арт. 6(1)(f) GDPR (законны інтарэс — захаванне бясплатных функцый AI даступнымі для ўсіх і прадухіленне злоўжывання лімітам). Тэрмін захоўвання: 90 дзён. Ты маеш права запярэчыць (арт. 21 GDPR) на адрас kontakt@polishb1.pl — інфармацыю пра праведзены тэст балансу даём на запыт.

3. Мабільнае прыкладанне Polski B1

Гэты раздзел тычыцца прыкладання Polski B1 для iOS / iPadOS. Прыкладанне не патрабуе стварэння ўліковага запісу — увесь прагрэс навучання захоўваецца лакальна на тваёй прыладзе (SwiftData) і апцыянальна сінхранізуецца праз iCloud паміж тваімі прыладамі Apple (пераключальнік на ўкладцы Профіль). Адміністратар не мае доступу да твайго прагрэсу ці адказаў.

Прыкладанне апрацоўвае наступныя катэгорыі дадзеных:

AI-апрацоўка (трэція бакі)

Твае тэксты і галасавыя запісы перадаюцца аднаму пастаўшчыку AI-ацэнкі без ніякага ідэнтыфікатара карыстальніка — кожны запыт ананімны і не можа быць звязаны з табой:

• OpenAI Ireland Ltd. — адзіны пастаўшчык, які апрацоўвае ўведзены табой кантэнт. Атрымлівае ўсе пісьмовыя тэксты (пісьмовыя заданні, граматычныя трансфармацыі, апісанне фатаграфій, трэніроўкі дыялогаў) для змястоўнай ацэнкі, а таксама ўсе галасавыя запісы для транскрыпцыі маўлення (Whisper). Кантралёрам у ЕС з’яўляецца OpenAI Ireland Ltd.; апрацоўка можа адбывацца ў ЗША. OpenAI не сертыфікаваны ў межах EU-U.S. Data Privacy Framework, таму перадача грунтуецца на стандартных дагаворных палажэннях ЕС (арт. 46(2)(c) GDPR) разам з ацэнкай уплыву перадачы (Transfer Impact Assessment) (пацверджанне: https://openai.com/policies/eu-privacy-policy/); з OpenAI заключана дамова даручэння апрацоўкі дадзеных (арт. 28 GDPR). OpenAI дэкларуе, што дадзеныя з API не выкарыстоўваюцца для трэніроўкі мадэляў і выдаляюцца максімум на працягу 30 дзён.

Тэхнічным пасярэднікам з’яўляецца наш бэкенд, размешчаны ў Fly.io, Inc. (кампанія з ЗША), рэгіён сервера Стакгольм (Швецыя). Паколькі Fly.io — кампанія з ЗША, перадача дадзеных у ЗША грунтуецца на EU-U.S. Data Privacy Framework (рашэнне аб адэкватнасці, арт. 45 GDPR; Fly.io сертыфікаваны — пацверджанне: https://fly.io/legal/data-privacy-framework/). Бэкенд не захоўвае твае адказы ці запісы — перадае іх «на ляту» ў OpenAI і вяртае вынік.

Пастаўшчыкі сінтэзу маўлення (TTS) — не атрымліваюць тваіх запісаў ці адказаў

Прыкладанне прайгравае польскія галасавыя запісы ў практыкаваннях на аўдзіраванне і рэпліках персанажаў. Гук генеруецца з нашых уласных тэкстаў сцэнарыяў, а ў інтэрактыўным дыялогу — са згенераваных адказаў AI-партнёра (якія могуць спасылацца на змест тваёй размовы). Гэтыя сэрвісы ніколі не атрымліваюць тваіх запісаў ці ўведзеных табой адказаў:

• Microsoft Ireland Operations Ltd. (Azure Speech — TTS) — сінтэз голасу з нашага тэксту (рэгіён ЕС — West Europe, Нідэрланды). Не атрымлівае тваіх запісаў ці адказаў. Пастаўшчыком з’яўляецца Microsoft Corporation; магчымыя перадачы ў ЗША грунтуюцца на EU-U.S. Data Privacy Framework (рашэнне аб адэкватнасці, арт. 45 GDPR; Microsoft сертыфікаваны — пацверджанне: https://www.microsoft.com/en-us/privacy/microsoft-data-privacy-framework-covered-entities, а таксама афіцыйны спіс https://www.dataprivacyframework.gov/list).
• Amazon Web Services, Inc. (AWS Polly) — сінтэз голасу (польскія жаночыя галасы; рэгіён ЕС — Франкфурт, eu-central-1). Не атрымлівае тваіх запісаў ці адказаў. Пастаўшчыком з’яўляецца Amazon.com, Inc. (AWS — сертыфікаваная ў межах DPF кампанія); магчымыя перадачы ў ЗША грунтуюцца на EU-U.S. Data Privacy Framework (арт. 45 GDPR — пацверджанне: https://aws.amazon.com/compliance/eu-us-data-privacy-framework/).

Firebase App Check

Прыкладанне выкарыстоўвае службу Firebase App Check (Google Ireland Ltd.) для пацверджання, што запыты паступаюць ад сапраўднай усталёўкі прыкладання, а не ад скрыптоў. Наколькі нам вядома, кароткатэрміновы токен, які выдае App Check, не змяшчае прамога ідэнтыфікатара карыстальніка. Аднак пры выкарыстанні сэрвісаў Google могуць апрацоўвацца тэхнічныя дадзеныя, такія як IP-адрас і інфармацыя пра прыладу і браўзер. Калі пры гэтым дадзеныя перадаюцца ў Google LLC у ЗША, перадача грунтуецца на EU-U.S. Data Privacy Framework (рашэнне аб адэкватнасці, арт. 45 GDPR; Google сертыфікаваны — пацверджанне: https://policies.google.com/privacy/frameworks). Тая ж падстава тычыцца Google Ads і Google Analytics на вэб-сайце.

Аналітыка дадатку і вымярэнне ўсталёвак (неабавязкова)

Пры тваёй яўнай згодзе дадатак выкарыстоўвае два статыстычныя інструменты. Збор дадзеных ВЫКЛЮЧАНЫ па змаўчанні — мы пытаемся згоды пры першым запуску, і ты можаш адклікаць яе ў любы момант у Профілі. Мы збіраем толькі ананімныя дадзеныя пра выкарыстанне (якія экраны адкрываеш і як доўга) і вымярэнне ўсталёвак; мы не збіраем рэкламны ідэнтыфікатар IDFA і не паказваем рэкламу ў дадатку. (1) Firebase Analytics (Google Ireland Ltd.) — ананімная статыстыка выкарыстання, без IDFA і без персаналізацыі рэкламы. (2) Meta (Facebook) SDK (Meta Platforms Ireland Ltd.) — вымярэнне ўсталёвак і сесій для ацэнкі эфектыўнасці нашага маркетынгу, у агрэгаванай форме (Aggregated Event Measurement / Apple SKAdNetwork), без IDFA і без міжпраграмнага адсочвання. Прававая падстава: арт. 6(1)(a) GDPR (згода). Магчымыя перадачы да Google LLC і Meta Platforms, Inc. у ЗША грунтуюцца на EU-U.S. Data Privacy Framework (арт. 45 GDPR — абедзве кампаніі сертыфікаваныя; афіцыйны спіс: https://www.dataprivacyframework.gov/list).

Дадзеныя дзяцей

Сэрвіс прызначаны для тых, хто вывучае польскую мову на ўзроўні B1 — звычайна для дарослых або падлеткаў ад 16 гадоў. У Польшчы ўзрост самастойнай згоды на апрацоўку дадзеных у паслугах інфармацыйнага грамадства складае 16 гадоў (арт. 8 GDPR), таму маладзейшыя асобы павінны карыстацца Сэрвісам са згоды і пад наглядам бацькоў ці законнага апекуна. Мы свядома не збіраем персанальныя дадзеныя дзяцей ва ўзросце да 16 гадоў. Калі ты заўважыш, што дзіця карыстаецца Сэрвісам без згоды бацькоў, напішы на kontakt@polishb1.pl — мы неадкладна выдалім звязаныя дадзеныя.

4. Атрымальнікі дадзеных

Вэб-сайт карыстаецца паслугамі наступных пастаўшчыкоў:

• Brevo (Sendinblue SAS) — абслугоўванне рассылкі і захоўванне электронных адрасоў падпісчыкаў (ЕС — Францыя)
• Google Ireland Ltd. — рэклама, адсочванне канверсій і аналіз трафіку на вэб-сайце (Google Ads, Google Analytics) — выключна з тваёй згоды (банер cookies); перадачы ў Google LLC у ЗША грунтуюцца на EU-U.S. Data Privacy Framework (арт. 45 GDPR; пацверджанне: https://policies.google.com/privacy/frameworks)
• Fly.io, Inc. — хостынг вэб-сайта і бэкенду прыкладання — Fly.io, Inc. з’яўляецца кампаніяй з ЗША; рэгіён сервера — Стакгольм (Швецыя), а перадачы ў ЗША грунтуюцца на EU-U.S. Data Privacy Framework (арт. 45 GDPR; пацверджанне: https://fly.io/legal/data-privacy-framework/)
• Cloudflare, Inc. (Turnstile) — праверка captcha (Turnstile) для функцый AI без уваходу — падчас праверкі апрацоўвае IP-адрас і сігналы браўзера; Cloudflare, Inc. сертыфікаваная ў межах EU-U.S. Data Privacy Framework (арт. 45 GDPR; пацверджанне: https://www.cloudflare.com/privacypolicy/)
• Уласная аналітыка (без файлаў cookie) — агульная аналітыка наведванняў сайта — наша ўласная, самастойна размешчаная аналітыка на баку сервера, без файлаў cookie, на ўласнай інфраструктуры Fly.io; гэта не новы трэці бок, і дадзеныя не перадаюцца ніякаму знешняму пастаўшчыку

Прыкладанне карыстаецца паслугамі наступных пастаўшчыкоў — з выразным пазначэннем, якія з іх атрымліваюць твае дадзеныя, а якія не:

5. Перадача дадзеных

Частка апрацоўкі адбываецца ў ЕС (Францыя — Brevo; Стакгольм/Швецыя — рэгіён сервера Fly.io; West Europe/Нідэрланды — Azure Speech; Франкфурт/Германія — AWS Polly; Ірландыя — Apple iCloud). Аднак некалькі атрымальнікаў з’яўляюцца кампаніямі з ЗША або перадаюць дадзеныя ў ЗША. Для Fly.io, Inc. (хостынг), Microsoft Corporation (Azure Speech), Amazon.com, Inc. (AWS Polly), Google LLC (Firebase App Check; Google Ads/Analytics) , Cloudflare, Inc. (captcha Turnstile) і Meta Platforms, Inc. (вымярэнне ўсталёвак у дадатку) перадача грунтуецца на EU-U.S. Data Privacy Framework (рашэнне аб адэкватнасці, арт. 45 GDPR — гэтыя кампаніі сертыфікаваныя ў межах DPF; афіцыйны спіс: https://www.dataprivacyframework.gov/list), а дамовы даручэння апрацоўкі з гэтымі пастаўшчыкамі дадаткова прадугледжваюць стандартныя дагаворныя палажэнні як запасны механізм. Для OpenAI (ацэньванне тэкстаў і транскрыпцыя Whisper) сертыфікацыі DPF няма — перадача грунтуецца на стандартных дагаворных палажэннях ЕС (арт. 46(2)(c) GDPR) разам з ацэнкай уплыву перадачы (Transfer Impact Assessment); кантралёрам у ЕС з’яўляецца OpenAI Ireland Ltd. Пастаўшчыкі TTS (Azure, Polly) не атрымліваюць тваіх запісаў ці адказаў — генеруюць гук з нашых тэкстаў сцэнарыяў і з адказаў AI-партнёра ў дыялогу; спасылкі-пацверджанні прыведзены ў раздзелах 3 і 4.

6. Тэрмін захоўвання дадзеных

• Рассылка (e-mail) — захоўваецца да моманту адпіскі ад рассылкі
• Сесійныя cookie — выдаляюцца пры закрыцці браўзера або праз 30 дзён
• Логі сервера — захоўваюцца 30 дзён
• Тэксты і запісы, перададзеныя ў OpenAI — перадаюцца «на ляту», на нашым серверы не захоўваюцца. OpenAI дэкларуе выдаленне максімум на працягу 30 дзён.
• Azure Speech (TTS), AWS Polly — атрымліваюць выключна нашы тэксты сцэнарыяў і адказы AI-партнёра ў дыялогу; не захоўваюць тваіх дадзеных.
• Ідэнтыфікатары госця (хешы IP і прылады) для ліміту AI — незваротныя хешы IP-адраса і сігналаў браўзера/прылады (адбітак браўзера), якія выкарыстоўваюцца выключна як штодзённы лічыльнік AI-запытаў гасцей; яны не дазваляюць аднавіць IP-адрас ці дадзеныя прылады.
• Прагрэс навучання (SwiftData + iCloud) — захоўваюцца лакальна на тваёй прыладзе і ў тваім iCloud, пакуль ты сам іх не выдаліш (дадзеныя ніколі не трапляюць на нашы серверы).

7. Правы карыстальніка

У адпаведнасці з GDPR, табе належаць наступныя правы:

• Права доступу да сваіх дадзеных (арт. 15)
• Права на выпраўленне дадзеных (арт. 16)
• Права на выдаленне дадзеных — «права быць забытым» (арт. 17)
• Права на абмежаванне апрацоўкі (арт. 18)
• Права на перанос дадзеных (арт. 20)
• Права на пярэчанне супраць апрацоўкі (арт. 21)

Для рэалізацыі сваіх правоў звяжыся з намі: kontakt@polishb1.pl

8. Адклік згоды

Калі апрацоўка дадзеных ажыццяўляецца на падставе згоды, ты маеш права адклікаць згоду ў любы момант. Адклік згоды не ўплывае на законнасць апрацоўкі, ажыццёўленай да адкліку.

9. Права на скаргу

Ты маеш права падаць скаргу ў нагляднаму органу — Старшыні Управы аховы персанальных дадзеных (UODO), вул. Stawki 2, 00-193 Варшава, uodo.gov.pl.

10. Файлы cookie і лакальная памяць

Сайт выкарыстоўвае файлы cookie і лакальную памяць браўзера ў наступных мэтах:

• Неабходныя — сесійныя файлы cookie для падтрымання сесіі (не патрабуюць згоды)
• Функцыянальныя (лакальна ў браўзеры) — Каб прадаставіць функцыі, якімі ты карыстаешся, мы захоўваем тэхнічна неабходныя дадзеныя лакальна ў тваім браўзеры (localStorage/sessionStorage): твае адказы і прагрэс у практыкаваннях, стан згоды на cookies і выбраную мову. Уваход таксама ўсталёўвае неабходныя сесійныя файлы cookie і cookie бяспекі (NextAuth, абарона ад CSRF). Гэтыя дадзеныя тэхнічна абсалютна неабходныя (арт. 399 польскага закона ад 12 ліпеня 2024 г. — Prawo komunikacji elektronicznej), не патрабуюць згоды і не перадаюцца да нас.
• Аналітычныя і маркетынгавыя — Google Analytics (аналіз трафіку) і Google Ads (адсочванне канверсій) — патрабуюць згоды карыстальніка; мы не ўжываем персаналізацыі рэкламы ці рэмаркетынгу
• Уласная аналітыка (без файлаў cookie) — Мы дадаткова выкарыстоўваем уласную, самастойна размешчаную аналітыку на баку сервера для вымярэння агульнага трафіку сайта (колькасць наведванняў, наведаныя старонкі, час на старонцы) для ўсіх наведвальнікаў, незалежна ад выбару ў банеры cookies. Служба не захоўвае ніякіх файлаў cookie ці дадзеных у тваім браўзеры, не стварае профіль, які ідэнтыфікуе цябе, і не звязвае дадзеныя паміж рознымі вэб-сайтамі — таму не патрабуе згоды праз банер cookies. IP-адрас апрацоўваецца толькі імгненна для вызначэння прыблізнай краіны/горада і не захоўваецца. Прававая падстава: арт. 6(1)(f) GDPR (законны інтарэс — вымярэнне статыстыкі наведванняў). Дадзеныя застаюцца выключна на нашай інфраструктуры (Fly.io, рэгіён Стакгольм) — яны не перадаюцца ніякаму новаму трэцяму боку.

Пры першым наведванні адлюстроўваецца банер з просьбай аб згодзе на аналітычныя і маркетынгавыя cookie. Згоду можна ў любы момант адклікаць або змяніць — націсні спасылку «Налады cookies» унізе старонкі, каб зноў адкрыць банер (адклікаць згоду гэтак жа лёгка, як яе даць, арт. 7(3) GDPR). Файламі cookie можна дадаткова кіраваць у наладах свайго браўзера.

11. Добраахвотнасць прадастаўлення дадзеных

Прадастаўленне персанальных дадзеных з’яўляецца добраахвотным. Падпіска на рассылку патрабуе толькі электроннага адраса.

12. Змены палітыкі прыватнасці

Адміністратар пакідае за сабой права змяняць гэтую Палітыку прыватнасці. Аб істотных зменах карыстальнікі будуць паведамлены праз апавяшчэнне на Сайце. Бягучая версія палітыкі заўсёды даступная на гэтай старонцы.