Polityka prywatności

1. Administrator danych

Administratorem odpowiedzialnym za przetwarzanie danych na tej stronie internetowej jest:

Unicorn Factory Media GmbH
Zarząd: Daniel Haenle, Florian Konrad
In der Kolling 146
66450 Bexbach, Niemcy
E-mail: hey@bookicorn.net
NIP UE: DE340084710
Rejestr handlowy: HRB 107099, Amtsgericht Saarbrücken

2. Zakres obowiązywania

Niniejsza polityka prywatności dotyczy stron internetowych www.bookicorn.net (marketplace dla klientów, wyszukiwarka studiów, strony SEO) oraz app.bookicorn.net (panel administracyjny Studia, panel trenera, panel klienta, system rezerwacji). Obie platformy są prowadzone przez Unicorn Factory Media GmbH.

3. Przegląd przetwarzania danych

W ramach naszych usług przetwarzamy następujące rodzaje danych osobowych:

• Dane podstawowe - imię i nazwisko, adres, data urodzenia
• Dane kontaktowe - adres e-mail, numer telefonu
• Dane dotyczące treści - zdjęcia profilowe, wiadomości, opinie
• Dane dotyczące korzystania - odwiedzone strony, czasy dostępu, adresy IP
• Dane umowne - historia rezerwacji, członkostwa, zapisy na kursy
• Dane płatnicze - historia płatności, stany środków, informacje o wypłatach
• Dane komunikacyjne - wiadomości czatu, korespondencja e-mail

4. Podstawy prawne

Przetwarzanie danych osobowych odbywa się na podstawie następujących podstaw prawnych RODO:

• Art. 6 ust. 1 lit. a RODO (Zgoda) - osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych, np. w przypadku opcjonalnych plików cookie lub newslettera.
• Art. 6 ust. 1 lit. b RODO (Wykonanie umowy) - przetwarzanie jest niezbędne do wykonania umowy, np. rejestracji, rezerwacji kursu, przetwarzania płatności.
• Art. 6 ust. 1 lit. c RODO (Obowiązek prawny) - przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego, np. obowiązków przechowywania dokumentów podatkowych.
• Art. 6 ust. 1 lit. f RODO (Uzasadniony interes) - przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów, np. bezpieczeństwa platformy, zapobiegania oszustwom, analizy w celu poprawy oferty.

5. Rejestracja i konto użytkownika

Korzystanie z niektórych funkcji naszej platformy wymaga rejestracji. Uwierzytelnianie odbywa się za pośrednictwem Supabase Auth (Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992).

Przetwarzane są przy tym następujące dane:

• Adres e-mail
• Imię i nazwisko
• Hasło (przechowywane w formie zaszyfrowanej, brak dostępu w formie jawnej)

Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy).
Usunięcie: po usunięciu konta dane są całkowicie usuwane najpóźniej w ciągu 30 dni.

6. Zarządzanie Studiem (Panel administracyjny)

Operatorzy Studia korzystają z panelu administracyjnego na app.bookicorn.net do zarządzania swoim Studiem. Przetwarzane są przy tym następujące dane:

• Nazwa i opis Studia
• Adres i lokalizacje
• Dane kontaktowe (e-mail, telefon, strona internetowa)
• Dane bankowe (do wypłat za pośrednictwem Stripe Connect)
• Oferta kursów, ceny i harmonogramy
• Profile trenerów i przydziały

Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy w celu udostępnienia usług platformy).

7. Panel trenera

Trenerzy otrzymują za pośrednictwem app.bookicorn.net dostęp do własnego panelu, w którym mogą przeglądać przydzielone im kursy, listy uczestników i wypłaty. Przetwarzane są przy tym następujące dane:

• Imię, nazwisko i dane kontaktowe
• Kwalifikacje i zdjęcie profilowe
• Honoraria i historia wypłat
• Przydzielone kursy i listy uczestników

Do automatycznych wypłat wykorzystywany jest Stripe Connect. Trenerzy przechodzą proces onboardingu u Stripe, w ramach którego Stripe przetwarza dane płatnicze bezpośrednio.

Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy).

8. Panel klienta

Zarejestrowani uczestnicy mogą za pośrednictwem app.bookicorn.net zarządzać swoimi rezerwacjami, saldem środków i swoim profilem. Przetwarzane są przy tym następujące dane:

• Imię, nazwisko i adres e-mail
• Zdjęcie profilowe i ustawienia osobiste
• Historia rezerwacji (zarezerwowane kursy, terminy, anulowania)
• Stan środków (Credits)
• Historia płatności

Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy).

9. Rezerwacje kursów i przetwarzanie płatności

Przy rezerwacji kursów przetwarzane są następujące dane:

• Imię, nazwisko i adres e-mail uczestnika
• Zarezerwowane kursy, terminy i status rezerwacji
• Historia rezerwacji i anulowania

Przetwarzanie płatności odbywa się za pośrednictwem Stripe (Stripe Inc., 510 Townsend Street, San Francisco, CA 94103, USA). Dane płatnicze (numer karty kredytowej, dane bankowe) są przetwarzane bezpośrednio przez Stripe i nigdy nie są przechowywane na naszych serwerach.

Stripe posiada certyfikat w ramach EU-US Data Privacy Framework, zapewniając tym samym odpowiedni poziom ochrony danych. Więcej informacji znajduje się w polityce prywatności Stripe: https://stripe.com/en-pl/privacy

Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy).

10. System środków (Credits)

Uczestnicy mogą za pośrednictwem naszej platformy nabywać pakiety środków (Credits), które są wykorzystywane do rezerwacji kursów. Zakup odbywa się za pośrednictwem Stripe Checkout.

Przetwarzane są przy tym następujące dane:

• Stan środków na koncie użytkownika
• Historia transakcji (zakupy, wykorzystania)
• Informacje płatnicze (przetwarzane przez Stripe)

Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy).

11. Funkcja czatu

Nasza platforma oferuje funkcję czatu, za pośrednictwem której uczestnicy mogą komunikować się ze Studiami i trenerami. Przetwarzane są przy tym następujące dane:

• Treść wiadomości (tekst)
• Znaczniki czasu wiadomości
• Informacje o nadawcy i odbiorcy

Okres przechowywania: wiadomości są przechowywane przez czas trwania członkostwa. Po usunięciu konta wszystkie wiadomości czatu są usuwane.
Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy).

12. Komunikacja e-mailowa

Wysyłka wiadomości e-mail odbywa się za pośrednictwem usługi SMTP ALL-INKL.COM (Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Niemcy).

Wysyłane są następujące wiadomości e-mail:

• Potwierdzenie rejestracji i weryfikacja adresu e-mail
• Potwierdzenia rezerwacji i anulowania
• Przypomnienia o kursach
• Potwierdzenia płatności i faktury
• Powiadomienia dotyczące konta (resetowanie hasła itp.)

Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes w dostarczaniu istotnych informacji).

13. Pliki cookie i podobne technologie

Nasze strony internetowe wykorzystują pliki cookie i podobne technologie. Rozróżniamy:

• Technicznie niezbędne pliki cookie - są one wymagane do działania strony internetowej (np. pliki cookie sesji, pliki cookie uwierzytelniające). Są ustawiane bez zgody. Podstawa prawna: art. 6 ust. 1 lit. f RODO.
• Opcjonalne pliki cookie - pliki cookie do celów analitycznych lub marketingowych są ustawiane wyłącznie za Państwa wyraźną zgodą. Podstawa prawna: art. 6 ust. 1 lit. a RODO.

Przy pierwszej wizycie na naszej stronie internetowej wyświetlany jest baner cookie, za pośrednictwem którego mogą Państwo udzielić lub odmówić zgody. Mogą Państwo w dowolnym momencie zmienić swoje ustawienia w ustawieniach plików cookie.

14. Hosting

Nasze strony internetowe są hostowane przez Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA).

Automatycznie przetwarzane są przy tym następujące dane:

• Adres IP urządzenia uzyskującego dostęp
• Dane dostępu (data, godzina, odwiedzona strona)
• Ilość przesłanych danych

Vercel posiada certyfikat w ramach EU-US Data Privacy Framework. Więcej informacji: https://vercel.com/legal/privacy-policy

Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes w bezpiecznym i wydajnym udostępnianiu naszej strony internetowej).

15. Pliki dziennika serwera

Przy każdym dostępie do naszych stron internetowych automatycznie gromadzone są w plikach dziennika serwera następujące dane:

• Typ i wersja przeglądarki
• Używany system operacyjny
• URL strony odsyłającej (poprzednio odwiedzona strona)
• Adres IP komputera uzyskującego dostęp
• Czas żądania serwera

Dane te nie są łączone z innymi źródłami danych. Usunięcie następuje automatycznie po 30 dniach.

Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes w zapewnieniu bezawaryjnego działania).

16. Formularz kontaktowy

Jeśli przesyłają Państwo do nas zapytania za pośrednictwem formularza kontaktowego, Państwa dane z formularza zapytania, w tym podane w nim dane kontaktowe, są przez nas przechowywane w celu przetworzenia zapytania i na wypadek ewentualnych dalszych pytań. Nie przekazujemy tych danych bez Państwa zgody.

Dodatkowo przy wysyłaniu formularza kontaktowego przekazywane są techniczne informacje o pochodzeniu (strona wejściowa, strona odsyłająca, ewentualne parametry kampanii). Dane te są wykorzystywane wyłącznie w celu poprawy naszej oferty i są przechowywane tylko przez czas trwania sesji w przeglądarce (session storage). Nie są ustawiane żadne pliki cookie ani przekazywane dane osobom trzecim.

Podstawa prawna: art. 6 ust. 1 lit. f RODO (uzasadniony interes w efektywnym rozpatrywaniu zapytań).

17. Dostawcy zewnętrzni i podmioty przetwarzające

W celu świadczenia naszych usług korzystamy z następujących dostawców zewnętrznych:

• Supabase Inc. (Singapur) - baza danych i uwierzytelnianie. Dane są przechowywane na serwerach AWS w UE (Frankfurt).
• Vercel Inc. (USA) - hosting i sieć dostarczania treści (CDN). Certyfikat w ramach EU-US Data Privacy Framework.
• Stripe Inc. (USA) - przetwarzanie płatności i wypłaty. Certyfikat w ramach EU-US Data Privacy Framework.
• ALL-INKL.COM - Neue Medien Münnich (Niemcy) - wysyłka wiadomości e-mail przez SMTP. Przetwarzanie danych wyłącznie w Niemczech.
• Amazon Web Services EMEA SARL (UE) - infrastruktura chmurowa (za pośrednictwem Supabase). Centrum danych we Frankfurcie (eu-central-1).

Ze wszystkimi podmiotami przetwarzającymi zawarliśmy umowy powierzenia przetwarzania danych zgodnie z art. 28 RODO. Wszyscy dostawcy amerykańscy posiadają certyfikat w ramach EU-US Data Privacy Framework lub obowiązują standardowe klauzule umowne (Standard Contractual Clauses, SCC).

18. Synchronizacja kalendarza (Google i Apple)

Dzięki dodatkowi „Synchronizacja kalendarza" właściciele Studiów i trenerzy mogą eksportować swoje terminy kursów Bookicorn do własnego kalendarza Google lub Apple iCloud. Połączenie dla Google odbywa się za pośrednictwem OAuth 2.0 z zakresem https://www.googleapis.com/auth/calendar.app.created. Ten zakres umożliwia wyłącznie dostęp do odczytu i zapisu kalendarzy utworzonych przez samą platformę Bookicorn. Inne prywatne kalendarze pozostają niewidoczne dla Bookicorn.

W połączonym zewnętrznym kalendarzu jako wydarzenie zapisywane są następujące dane: nazwa kursu, data, godzina, miejsce, imię i nazwisko trenera, kategoria oraz liczba i imiona zapisanych uczestników. Dane te pochodzą wyłącznie z backendu Bookicorn.

Po stronie serwera Bookicorn przechowywane są następujące dane: adres e-mail połączonego konta Google lub Apple, nazwa i adres URL utworzonego kalendarza oraz zaszyfrowane tokeny dostępu (AES-256-GCM). Tokeny odświeżania OAuth są przechowywane wyłącznie w formie zaszyfrowanej i wykorzystywane wyłącznie do generowania nowych tokenów dostępu. W przypadku Apple iCloud przechowywane jest w formie zaszyfrowanej hasło specyficzne dla aplikacji utworzone przez użytkownika.

Bookicorn nie odczytuje treści obcych kalendarzy, nie pobiera kontaktów, nie przekazuje danych osobom trzecim i wykorzystuje dane kalendarza wyłącznie do dwukierunkowej synchronizacji terminów kursów. Po odłączeniu połączenia („Disconnect") tokeny są natychmiast usuwane. Utworzony kalendarz Bookicorn pozostaje na zewnętrznym koncie i może zostać tam ręcznie usunięty.

Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy dotyczącej dodatku) oraz art. 6 ust. 1 lit. a RODO (zgoda użytkownika poprzez aktywny proces połączenia OAuth).

Odbiorcy danych: Google LLC (USA, certyfikat w ramach EU-US Data Privacy Framework) w przypadku połączenia z Google, Apple Inc. (USA, certyfikat w ramach EU-US Data Privacy Framework) w przypadku połączenia z iCloud.

Ta aplikacja wykorzystuje i przekazuje informacje uzyskane z API Google zgodnie z Google API Services User Data Policy, w tym z wymogami Limited Use.

19. Przekazywanie danych Studiom

Przy rezerwacji kursu następujące dane są przekazywane danemu Studiu:

• Imię i nazwisko uczestnika
• Adres e-mail
• Szczegóły rezerwacji (kurs, termin, status)

Przekazanie następuje w celu realizacji umowy rezerwacji. Studia samodzielnie odpowiadają za przetwarzanie przekazanych im danych. Pomiędzy Bookicorn a Studiami istnieje umowa powierzenia przetwarzania danych.

Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy).

20. Prawa osób, których dane dotyczą

Przysługują Państwu następujące prawa dotyczące Państwa danych osobowych:

• Art. 15 RODO - Prawo dostępu: mają Państwo prawo do uzyskania informacji o swoich danych osobowych przechowywanych przez nas.
• Art. 16 RODO - Prawo do sprostowania: mają Państwo prawo żądać sprostowania nieprawidłowych danych lub uzupełnienia swoich danych.
• Art. 17 RODO - Prawo do usunięcia danych: mają Państwo prawo żądać usunięcia swoich danych osobowych, o ile nie stoją temu na przeszkodzie ustawowe obowiązki przechowywania.
• Art. 18 RODO - Prawo do ograniczenia przetwarzania: mają Państwo prawo żądać ograniczenia przetwarzania swoich danych.
• Art. 20 RODO - Prawo do przenoszenia danych: mają Państwo prawo do otrzymania swoich danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego.
• Art. 21 RODO - Prawo do sprzeciwu: mają Państwo prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania swoich danych, o ile przetwarzanie opiera się na uzasadnionym interesie.
• Art. 7 ust. 3 RODO - Prawo do cofnięcia zgody: mają Państwo prawo w dowolnym momencie cofnąć udzieloną zgodę. Zgodność z prawem przetwarzania dokonanego na podstawie zgody przed jej cofnięciem pozostaje nienaruszona.

Aby skorzystać ze swoich praw, mogą Państwo w dowolnym momencie skontaktować się z nami: hey@bookicorn.net

21. Okres przechowywania

Przechowujemy dane osobowe tylko tak długo, jak jest to konieczne dla odpowiednich celów przetwarzania lub jak wymagają tego ustawowe okresy przechowywania.

• Handlowe i podatkowe okresy przechowywania: do 10 lat (§ 257 HGB, § 147 AO)
• Dane rezerwacji: przez czas trwania relacji biznesowej, następnie zgodnie z ustawowymi okresami przechowywania
• Konta użytkowników: usunięcie w ciągu 30 dni od usunięcia konta
• Logi serwera: usunięcie po 30 dniach

22. Prawo do wniesienia skargi

Mają Państwo prawo wniesienia skargi do organu nadzorczego ds. ochrony danych osobowych w związku z przetwarzaniem Państwa danych osobowych.

Właściwym dla nas organem nadzorczym jest:

Unabhängiges Datenschutzzentrum Saarland
Fritz-Dobisch-Straße 12
66111 Saarbrücken
Niemcy

23. Zmiany niniejszej polityki prywatności

Zastrzegamy sobie prawo do dostosowania niniejszej polityki prywatności w celu jej dopasowania do zmienionych stanów prawnych lub w przypadku zmian usługi oraz przetwarzania danych. Aktualna wersja jest zawsze dostępna na tej stronie.