Политика конфиденциальности

1. Администратор персональных данных

Администратором персональных данных является Denys Nehometianov, ведущий веб-сайт Polski B1 (далее: «Сайт»), доступный по адресу polishb1.pl, а также публикующий мобильное приложение Polski B1 для iOS / iPadOS (далее: «Приложение»). Регистрационные данные: Denys Nehometianov, адрес: ul. Zygmunta Krasińskiego 15a/3, 50-449 Wrocław, Polska, польский налоговый номер (NIP): 8992927401, электронная почта: kontakt@polishb1.pl.

Контакт: kontakt@polishb1.pl

Администратор не назначил Инспектора по защите персональных данных.

2. Цели и правовые основания обработки данных (веб-сайт)

Учётная запись на веб-сайте (вход)

Вход и учётная запись касаются исключительно веб-сайта polishb1.pl — мобильное приложение по-прежнему работает без учётной записи (см. раздел 3). Вход необязателен: упражнениями с AI-оценкой можно пользоваться и без учётной записи, пройдя короткую проверку captcha (см. «Функции AI для гостей» ниже) — вход снимает captcha; остальные упражнения всегда работают без входа. После входа через Google мы получаем и храним твой адрес электронной почты, имя, фото профиля и идентификатор учётной записи Google, а также даты входа и подтверждение принятия Правил и Политики конфиденциальности. Правовое основание: ст. 6(1)(b) GDPR (предоставление функции AI, которую ты запрашиваешь) и ст. 6(1)(a) GDPR (согласие на вход).

Твой адрес электронной почты мы дополнительно храним в виде необратимого хеша, чтобы применять ежедневный лимит AI-запросов (40 в сутки на аккаунт) и предотвращать злоупотребления — ст. 6(1)(f) GDPR. Этот хеш является псевдонимизированными данными (мы не называем его анонимным) и сохраняется, даже если ты удалишь и снова создашь аккаунт, — чтобы таким образом нельзя было обнулить дневной лимит. Однако мы не храним его бессрочно: запись автоматически удаляется через 90 дней после твоего последнего AI-запроса. Твои ответы и записи отправляются в OpenAI для оценки без какого-либо идентификатора пользователя, так же как в приложении. Данные аккаунта хранятся до его удаления — ты можешь удалить его на странице профиля или написав на kontakt@polishb1.pl.

Функции AI для гостей — captcha Cloudflare Turnstile

Упражнениями с AI-оценкой можно пользоваться и без учётной записи. Перед отправкой ответа как гость мы просим пройти короткую captcha (Cloudflare Turnstile), которая отличает людей от ботов. Во время проверки Cloudflare, Inc. обрабатывает технические данные, такие как IP-адрес и сигналы браузера и устройства; мы получаем только одноразовый токен подтверждения. Правовое основание: ст. 6(1)(f) GDPR (законный интерес — защита от злоупотреблений). Cloudflare, Inc. сертифицирована в рамках EU-U.S. Data Privacy Framework (ст. 45 GDPR; подтверждение: https://www.cloudflare.com/privacypolicy/ и официальный список https://www.dataprivacyframework.gov/list).

Чтобы применять ежедневный лимит AI-запросов для гостей, мы создаём необратимый хеш твоего IP-адреса (для IPv6 — сети /64) как технический идентификатор счётчика — ст. 6(1)(f) GDPR; хеш невозможно преобразовать обратно в IP-адрес. Ответы и записи гостей попадают в OpenAI без какого-либо идентификатора пользователя — так же как у зарегистрированных пользователей.

Чтобы этот лимит нельзя было обойти очисткой файлов cookie, при использовании функций AI в качестве гостя твой браузер дополнительно вычисляет два технических идентификатора устройства: (1) «отпечаток браузера» (fingerprint), создаваемый из характеристик браузера и устройства — в том числе способа отрисовки графики (canvas), списка шрифтов, разрешения экрана и часового пояса (библиотека ThumbmarkJS), и (2) упрощённый хеш из разрешения экрана, соотношения пикселей, платформы и часового пояса. Обе величины — необратимые хеши: из них невозможно восстановить данные устройства или установить твою личность; мы не сохраняем их на твоём устройстве (они вычисляются в памяти для каждой сессии). Мы используем их ИСКЛЮЧИТЕЛЬНО как ключ ежедневного счётчика AI-запросов и для защиты от злоупотреблений — никогда для рекламы, аналитики, профилирования или межсайтового отслеживания; никому их не передаём. Правовое основание: ст. 6(1)(f) GDPR (законный интерес — сохранение бесплатных функций AI доступными для всех и предотвращение злоупотребления лимитом). Срок хранения: 90 дней. Ты имеешь право возразить (ст. 21 GDPR) по адресу kontakt@polishb1.pl — информацию о проведённом тесте баланса предоставляем по запросу.

3. Мобильное приложение Polski B1

Этот раздел касается приложения Polski B1 для iOS / iPadOS. Приложение не требует создания учётной записи — весь прогресс обучения сохраняется локально на твоём устройстве (SwiftData) и опционально синхронизируется через iCloud между твоими устройствами Apple (переключатель на вкладке Профиль). Администратор не имеет доступа к твоему прогрессу или ответам.

Приложение обрабатывает следующие категории данных:

AI-обработка (третьи стороны)

Твои тексты и голосовые записи передаются одному поставщику AI-оценки без какого-либо идентификатора пользователя — каждый запрос анонимный и не может быть связан с тобой:

• OpenAI Ireland Ltd. — единственный поставщик, который обрабатывает вводимый тобой контент. Получает все письменные тексты (письменные задания, грамматические трансформации, описания фотографий, тренировки диалогов) для содержательной оценки, а также все голосовые записи для транскрипции речи (Whisper). Контролёром в ЕС является OpenAI Ireland Ltd.; обработка может осуществляться в США. OpenAI не сертифицирован в рамках EU-U.S. Data Privacy Framework, поэтому передача основывается на стандартных договорных положениях ЕС (ст. 46(2)(c) GDPR) вместе с оценкой воздействия передачи (Transfer Impact Assessment) (подтверждение: https://openai.com/policies/eu-privacy-policy/); с OpenAI заключён договор поручения обработки данных (ст. 28 GDPR). OpenAI декларирует, что данные из API не используются для обучения моделей и удаляются максимум в течение 30 дней.

Техническим посредником является наш бэкенд, размещённый в Fly.io, Inc. (компания из США), регион сервера Стокгольм (Швеция). Поскольку Fly.io — компания из США, передача данных в США основывается на EU-U.S. Data Privacy Framework (решение об адекватности, ст. 45 GDPR; Fly.io сертифицирован — подтверждение: https://fly.io/legal/data-privacy-framework/). Бэкенд не сохраняет твои ответы или записи — передаёт их «на лету» в OpenAI и возвращает результат.

Поставщики синтеза речи (TTS) — не получают твоих записей или ответов

Приложение воспроизводит польские голосовые записи в упражнениях на аудирование и репликах персонажей. Звук генерируется из наших собственных текстов сценариев, а в интерактивном диалоге — из сгенерированных ответов AI-партнёра (которые могут ссылаться на содержание твоего разговора). Эти сервисы никогда не получают твоих записей или введённых тобой ответов:

• Microsoft Ireland Operations Ltd. (Azure Speech — TTS) — синтез голоса из нашего текста (регион ЕС — West Europe, Нидерланды). Не получает твоих записей или ответов. Поставщиком является Microsoft Corporation; возможные передачи в США основываются на EU-U.S. Data Privacy Framework (решение об адекватности, ст. 45 GDPR; Microsoft сертифицирован — подтверждение: https://www.microsoft.com/en-us/privacy/microsoft-data-privacy-framework-covered-entities, а также официальный список https://www.dataprivacyframework.gov/list).
• Amazon Web Services, Inc. (AWS Polly) — синтез голоса (польские женские голоса; регион ЕС — Франкфурт, eu-central-1). Не получает твоих записей или ответов. Поставщиком является Amazon.com, Inc. (AWS — сертифицированная в рамках DPF компания); возможные передачи в США основываются на EU-U.S. Data Privacy Framework (ст. 45 GDPR — подтверждение: https://aws.amazon.com/compliance/eu-us-data-privacy-framework/).

Firebase App Check

Приложение использует службу Firebase App Check (Google Ireland Ltd.) для подтверждения, что запросы поступают от подлинной установки приложения, а не от скриптов. Насколько нам известно, краткосрочный токен, выдаваемый App Check, не содержит прямого идентификатора пользователя. Однако при использовании сервисов Google могут обрабатываться технические данные, такие как IP-адрес и информация об устройстве и браузере. Если при этом данные передаются в Google LLC в США, передача основывается на EU-U.S. Data Privacy Framework (решение об адекватности, ст. 45 GDPR; Google сертифицирован — подтверждение: https://policies.google.com/privacy/frameworks). То же основание относится к Google Ads и Google Analytics на веб-сайте.

Аналитика приложения и измерение установок (опционально)

При твоём явном согласии приложение использует два статистических инструмента. Сбор данных ВЫКЛЮЧЕН по умолчанию — мы спрашиваем согласие при первом запуске, и ты можешь отозвать его в любой момент в Профиле. Мы собираем только анонимные данные об использовании (какие экраны открываешь и как долго) и измерение установок; мы не собираем рекламный идентификатор IDFA и не показываем рекламу в приложении. (1) Firebase Analytics (Google Ireland Ltd.) — анонимная статистика использования, без IDFA и без персонализации рекламы. (2) Meta (Facebook) SDK (Meta Platforms Ireland Ltd.) — измерение установок и сессий для оценки эффективности нашего маркетинга, в агрегированной форме (Aggregated Event Measurement / Apple SKAdNetwork), без IDFA и без межприложенческого отслеживания. Правовое основание: ст. 6(1)(a) GDPR (согласие). Возможные передачи в Google LLC и Meta Platforms, Inc. в США основываются на EU-U.S. Data Privacy Framework (ст. 45 GDPR — обе компании сертифицированы; официальный список: https://www.dataprivacyframework.gov/list).

Данные детей

Сервис предназначен для изучающих польский язык на уровне B1 — обычно для взрослых или подростков от 16 лет. В Польше возраст самостоятельного согласия на обработку данных в услугах информационного общества составляет 16 лет (ст. 8 GDPR), поэтому лица младше должны пользоваться Сервисом с согласия и под надзором родителя или законного опекуна. Мы сознательно не собираем персональные данные детей младше 16 лет. Если ты заметишь, что ребёнок пользуется Сервисом без согласия родителей, напиши на kontakt@polishb1.pl — мы незамедлительно удалим связанные данные.

4. Получатели данных

Веб-сайт пользуется услугами следующих поставщиков:

• Brevo (Sendinblue SAS) — обслуживание рассылки и хранение электронных адресов подписчиков (ЕС — Франция)
• Google Ireland Ltd. — реклама, отслеживание конверсий и анализ трафика на веб-сайте (Google Ads, Google Analytics) — исключительно с твоего согласия (баннер cookies); передачи в Google LLC в США основываются на EU-U.S. Data Privacy Framework (ст. 45 GDPR; подтверждение: https://policies.google.com/privacy/frameworks)
• Fly.io, Inc. — хостинг веб-сайта и бэкенда приложения — Fly.io, Inc. является компанией из США; регион сервера — Стокгольм (Швеция), а передачи в США основываются на EU-U.S. Data Privacy Framework (ст. 45 GDPR; подтверждение: https://fly.io/legal/data-privacy-framework/)
• Cloudflare, Inc. (Turnstile) — проверка captcha (Turnstile) для функций AI без входа — во время проверки обрабатывает IP-адрес и сигналы браузера; Cloudflare, Inc. сертифицирована в рамках EU-U.S. Data Privacy Framework (ст. 45 GDPR; подтверждение: https://www.cloudflare.com/privacypolicy/)
• Собственная аналитика (без файлов cookie) — общая аналитика посещений сайта — наша собственная, самостоятельно размещённая аналитика на стороне сервера, без файлов cookie, на собственной инфраструктуре Fly.io; это не новая третья сторона, и данные не передаются никакому внешнему поставщику

Приложение пользуется услугами следующих поставщиков — с чётким указанием, какие из них получают твои данные, а какие нет:

5. Передача данных

Часть обработки осуществляется в ЕС (Франция — Brevo; Стокгольм/Швеция — регион сервера Fly.io; West Europe/Нидерланды — Azure Speech; Франкфурт/Германия — AWS Polly; Ирландия — Apple iCloud). Однако несколько получателей являются компаниями из США или передают данные в США. Для Fly.io, Inc. (хостинг), Microsoft Corporation (Azure Speech), Amazon.com, Inc. (AWS Polly), Google LLC (Firebase App Check; Google Ads/Analytics) , Cloudflare, Inc. (captcha Turnstile) и Meta Platforms, Inc. (измерение установок в приложении) передача основывается на EU-U.S. Data Privacy Framework (решение об адекватности, ст. 45 GDPR — эти компании сертифицированы в рамках DPF; официальный список: https://www.dataprivacyframework.gov/list), а договоры поручения обработки с этими поставщиками дополнительно предусматривают стандартные договорные положения как запасной механизм. Для OpenAI (оценка текстов и транскрипция Whisper) сертификации DPF нет — передача основывается на стандартных договорных положениях ЕС (ст. 46(2)(c) GDPR) вместе с оценкой воздействия передачи (Transfer Impact Assessment); контролёром в ЕС является OpenAI Ireland Ltd. Поставщики TTS (Azure, Polly) не получают твоих записей или ответов — генерируют звук из наших текстов сценариев и из ответов AI-партнёра в диалоге; ссылки-подтверждения приведены в разделах 3 и 4.

6. Срок хранения данных

• Рассылка (e-mail) — хранится до момента отписки от рассылки
• Сессионные cookie — удаляются при закрытии браузера или через 30 дней
• Логи сервера — хранятся 30 дней
• Тексты и записи, переданные в OpenAI — передаются «на лету», на нашем сервере не сохраняются. OpenAI декларирует удаление максимум в течение 30 дней.
• Azure Speech (TTS), AWS Polly — получают исключительно наши тексты сценариев и ответы AI-партнёра в диалоге; не хранят твоих данных.
• Идентификаторы гостя (хеши IP и устройства) для лимита AI — необратимые хеши IP-адреса и сигналов браузера/устройства (отпечаток браузера), используемые исключительно как ежедневный счётчик AI-запросов гостей; они не позволяют восстановить IP-адрес или данные устройства.
• Прогресс обучения (SwiftData + iCloud) — хранятся локально на твоём устройстве и в твоём iCloud, пока ты сам их не удалишь (данные никогда не попадают на наши серверы).

7. Права пользователя

В соответствии с GDPR, тебе принадлежат следующие права:

• Право доступа к своим данным (ст. 15)
• Право на исправление данных (ст. 16)
• Право на удаление данных — «право быть забытым» (ст. 17)
• Право на ограничение обработки (ст. 18)
• Право на перенос данных (ст. 20)
• Право на возражение против обработки (ст. 21)

Для реализации своих прав свяжись с нами: kontakt@polishb1.pl

8. Отзыв согласия

Если обработка данных осуществляется на основании согласия, ты вправе отозвать согласие в любой момент. Отзыв согласия не влияет на законность обработки, осуществлённой до отзыва.

9. Право на жалобу

Ты имеешь право подать жалобу в надзорный орган — Председателя Управления защиты персональных данных (UODO), ул. Stawki 2, 00-193 Варшава, uodo.gov.pl.

10. Файлы cookie и локальная память

Сайт использует файлы cookie и локальную память браузера в следующих целях:

• Необходимые — сессионные файлы cookie для поддержания сессии (не требуют согласия)
• Функциональные (локально в браузере) — Чтобы предоставить используемые тобой функции, мы храним технически необходимые данные локально в твоём браузере (localStorage/sessionStorage): твои ответы и прогресс в упражнениях, состояние согласия на cookies и выбранный язык. Вход также устанавливает необходимые сессионные файлы cookie и cookie безопасности (NextAuth, защита от CSRF). Эти данные технически строго необходимы (ст. 399 польского закона от 12 июля 2024 г. — Prawo komunikacji elektronicznej), не требуют согласия и не передаются нам.
• Аналитические и маркетинговые — Google Analytics (анализ трафика) и Google Ads (отслеживание конверсий) — требуют согласия пользователя; мы не применяем персонализацию рекламы или ремаркетинг
• Собственная аналитика (без файлов cookie) — Мы дополнительно используем собственную, самостоятельно размещённую аналитику на стороне сервера для измерения общего трафика сайта (количество посещений, посещённые страницы, время на странице) для всех посетителей, независимо от выбора в баннере cookies. Служба не сохраняет никаких файлов cookie или данных в твоём браузере, не создаёт идентифицирующий тебя профиль и не связывает данные между разными веб-сайтами — поэтому не требует согласия через баннер cookies. IP-адрес обрабатывается лишь мгновенно для определения приблизительной страны/города и не сохраняется. Правовое основание: ст. 6(1)(f) GDPR (законный интерес — измерение статистики посещений). Данные остаются исключительно на нашей инфраструктуре (Fly.io, регион Стокгольм) — они не передаются никакой новой третьей стороне.

При первом посещении отображается баннер с просьбой о согласии на аналитические и маркетинговые cookie. Согласие можно в любой момент отозвать или изменить — нажми ссылку «Настройки cookies» внизу страницы, чтобы снова открыть баннер (отозвать согласие так же легко, как его дать, ст. 7(3) GDPR). Файлами cookie можно дополнительно управлять в настройках своего браузера.

11. Добровольность предоставления данных

Предоставление персональных данных является добровольным. Подписка на рассылку требует только электронного адреса.

12. Изменения политики конфиденциальности

Администратор оставляет за собой право изменять настоящую Политику конфиденциальности. О существенных изменениях пользователи будут проинформированы через уведомление на Сайте. Текущая версия политики всегда доступна на этой странице.