Polityka prywatności

Administratorem danych użytkowników serwisu akademia.majcake.pl jest MajCake Pracownia Artystycznych Wypieków Agnieszka Majewska, ul. Braci Wagów 20 lok. U5, 02-791 Warszawa, NIP 9512404550, REGON 363536430 (dalej: „Administrator” albo „my”).

Kontakt w sprawach prywatności: akademia@majcake.pl, tel. +48 660 484 463.

Polityka dotyczy Akademii MajCake: publicznych stron, kont, kursów online, subskrypcji, zakupów jednorazowych, konsultacji online, szkoleń stacjonarnych, voucherów, kalendarza, kalkulatorów i panelu użytkownika. Nie opisuje samodzielnych działań serwisów otwieranych przez odnośniki, np. Facebooka, Instagrama lub YouTube.

Zakres zależy od funkcji, z których korzystasz. Możemy przetwarzać:

Dane otrzymujemy od Ciebie, od Clerk, od Stripe po operacji płatniczej oraz automatycznie z urządzenia i logów serwera. Nie prosimy o szczególne kategorie danych. Nie wpisuj informacji o zdrowiu, poglądach, przekonaniach ani danych klientów do nazw, opisów, pytań do konsultacji lub publicznych wycen.

Uzasadniony interes obejmuje stabilne i bezpieczne działanie serwisu, przeciwdziałanie oszustwom i ochronę przed roszczeniami. Możesz wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją.

Konsultacje: dane konta, wybrany kurs lub temat, termin, opcjonalne pytania, rezerwację, status płatności i dane spotkania przetwarzamy w celu obsługi rezerwacji, przygotowania instruktora, przeprowadzenia spotkania i wysłania informacji organizacyjnych — na podstawie art. 6 ust. 1 lit. b RODO. Rozliczenia i obowiązki prawne opieramy na lit. c, a ustalenie, dochodzenie lub obronę roszczeń na lit. f tego przepisu. Dobrowolne wpisanie pytań nie oznacza zgody marketingowej.

Szkolenia stacjonarne i vouchery: dane Konta, kontaktowe, rezerwacji, uczestników, płatności, zaakceptowanych oświadczeń oraz kod i status vouchera przetwarzamy w celu zawarcia i wykonania umowy, obsługi terminu, potwierdzeń i realizacji vouchera — na podstawie art. 6 ust. 1 lit. b RODO. Rozliczenia i obowiązki prawne opieramy na lit. c, a bezpieczeństwo, zapobieganie nadużyciom oraz ustalenie, dochodzenie lub obronę roszczeń na lit. f tego przepisu.

Rejestrację, logowanie, reset hasła i sesję obsługuje Clerk. To Clerk otrzymuje dane logowania i zarządza bieżącymi poświadczeniami. Akademia nie przechowuje danych karty ani nie obsługuje bieżących haseł użytkowników we własnym mechanizmie.

W MongoDB zapisujemy powiązanie z identyfikatorem Clerk oraz e-mail, dane profilu, rolę, status, potwierdzenie e-maila, identyfikator klienta Stripe i historię dostępu. Dane są synchronizowane po zalogowaniu.

Podanie e-maila i danych wymaganych przy rejestracji jest dobrowolne, ale bez nich nie da się utworzyć konta. Imię i nazwisko jest potrzebne, jeśli chcesz pobrać imienny certyfikat. Brakujące dane możesz uzupełnić przed pobraniem, a później poprawić w panelu konta. Zapisujemy je w Clerk i synchronizujemy z naszą bazą; dotyczy to również kont logujących się przez Google.

Płatności, Checkout i portal subskrypcji obsługuje Stripe. Na stronie Stripe podajesz dane płatnicze i rozliczeniowe. Stripe może działać jako nasz podmiot przetwarzający, odbiorca albo odrębny administrator w zakresie obowiązków finansowych i przeciwdziałania oszustwom.

Akademia przechowuje identyfikatory klienta, produktu, ceny, płatności i subskrypcji, status, kwotę, walutę, daty okresu rozliczeniowego i anulowania oraz informacje potrzebne do przyznania dostępu. Nie otrzymujemy pełnego numeru karty ani CVC.

Podpisane komunikaty Stripe automatycznie aktualizują rozliczenie i dostęp. To reguły wykonujące umowę, a nie decyzje wywołujące skutki prawne w rozumieniu art. 22 RODO.

• Postęp kursu: zapisujemy ukończone lekcje i ostatnią aktywność, aby pokazywać postęp i odblokować podsumowanie.
• Zapisane wyceny: mogą zawierać nazwę, opis, składniki, ceny, ilości, koszty, czas pracy, dostawę, marżę i narzut. Są powiązane z kontem.
• Widoczność: gdy oznaczysz wycenę jako publiczną, jej treść będzie dostępna innym użytkownikom funkcji. Nie umieszczaj w niej danych klientów ani informacji poufnych.
• Certyfikat: po ukończeniu kursu imię i nazwisko trafiają do dokumentu PDF tworzonego na żądanie i wysyłanego do przeglądarki. Odpowiedź nie jest publicznie buforowana.

• Dane rezerwacji: zapisujemy identyfikator Konta, e-mail, imię i nazwisko, o ile są dostępne w profilu, numer rezerwacji, wybrany kurs lub temat, opis oferty, datę i godziny spotkania, kwotę, walutę, status i identyfikatory płatności, a także link do spotkania, identyfikator wydarzenia oraz statusy wysyłki i obsługi technicznej. Przechowujemy także zaakceptowaną treść i wersję oświadczeń dotyczących terminu i wykonania usługi, datę ich przyjęcia oraz powiązanie z Kontem. Potwierdzamy je w tej samej wiadomości e-mail co rezerwację. Dane są powiązane z Kontem w naszej bazie MongoDB.
• Pytania: możesz opcjonalnie wpisać zagadnienia związane z wybranym kursem lub tematem. Przechowujemy ich aktualną treść oraz datę ostatniej edycji. Brak pytań nie blokuje rezerwacji. Treść nie jest publiczna; mają do niej dostęp upoważnione osoby obsługujące Konsultację, w tym instruktor w zakresie potrzebnym do przygotowania i przeprowadzenia spotkania. Nie wpisuj danych klientów, haseł, tajemnic przedsiębiorstwa ani informacji o zdrowiu lub innych szczególnych kategorii danych.
• Publiczny kalendarz: pokazuje ofertę i dostępne terminy, bez danych klientów, treści ich pytań i linków do zarezerwowanych spotkań. Dane Twojej rezerwacji są dostępne na Twoim Koncie oraz upoważnionym osobom obsługującym Konsultację.
• Google Calendar i Google Meet: po potwierdzeniu płatności przekazujemy do Google e-mail uczestnika, nazwę z profilu, o ile jest dostępna, wybrany kurs lub temat, numer rezerwacji oraz datę i godziny spotkania, aby utworzyć wydarzenie, zaproszenie i link do rozmowy. Nie przekazujemy w tym zaproszeniu treści wpisanych pytań. Po dołączeniu do Google Meet Google przetwarza także dane połączenia oraz udostępniany przez Ciebie dźwięk, obraz lub ekran, zależnie od użytych funkcji. Informacje otrzymuje również organizator i instruktor prowadzący spotkanie.
• Potwierdzenia przez Resend: przekazujemy adres e-mail i dane potrzebne do wysłania potwierdzenia: nazwę z profilu, kurs lub temat, termin, link, cenę i numer rezerwacji oraz zaakceptowaną treść i wersję oświadczeń dotyczących wykonania usługi i datę ich przyjęcia. Kopię potwierdzenia otrzymuje osoba upoważniona do obsługi Konsultacji. Treść dodatkowych pytań nie jest umieszczana w tym potwierdzeniu. Wiadomości organizacyjne służą realizacji umowy, a nie marketingowi.
• Szkolenia stacjonarne: przy rezerwacji zapisujemy rodzaj i termin szkolenia, dane Konta, e-mail, imię i nazwisko z profilu, numer telefonu, liczbę uczestników, cenę, status płatności oraz zaakceptowane oświadczenia. W przypadku vouchera zapisujemy również wariant, unikalny kod, datę zakupu, termin ważności i status wykorzystania. Kod jest widoczny Użytkownikowi i upoważnionym osobom obsługującym szkolenia.
• Potwierdzenia i kalendarz szkoleń: Resend otrzymuje dane niezbędne do wysłania potwierdzenia Użytkownikowi i kopii na adres administracyjny. Do prywatnego Google Calendar organizatora przekazujemy nazwę szkolenia, termin, miejsce oraz zbiorczą liczbę zajętych i wolnych miejsc. Nie przekazujemy tam danych uczestników, numeru telefonu ani kodu vouchera. Dane z Google Calendar nie są importowane do Akademii.

Do rezerwacji potrzebujemy Konta, e-maila, wybranego kursu lub tematu, terminu oraz danych niezbędnych do obsługi płatności. Podanie danych jest dobrowolne, ale bez niezbędnych informacji nie możemy obsłużyć zakupu. Imię i nazwisko nie są dodatkowym warunkiem rezerwacji, a pytania są nieobowiązkowe. Ich edycja jest dostępna do terminu wskazanego na Koncie; nie zmienia to prawa do sprostowania danych osobowych lub innych uprawnień wynikających z RODO, z których można korzystać przez kontakt z nami.

Nagranie spotkania nie jest standardowym świadczeniem objętym zakupem Konsultacji. Jeżeli mielibyśmy je nagrywać, przed rozpoczęciem poinformujemy o celu, podstawie prawnej, odbiorcach i okresie przechowywania nagrania oraz uzyskamy odrębną zgodę, jeżeli jest wymagana. Akceptacja Regulaminu nie jest zgodą na nagrywanie.

Cookies niezbędne służą komunikacji, bezpieczeństwu, sesji, logowaniu i zapamiętaniu zgody. Stosujemy je bez zgody, gdy są konieczne do usługi żądanej przez użytkownika. Pozostałe technologie uruchamiamy dopiero po zgodzie.

Przy pierwszej wizycie opcjonalne kategorie są wyłączone. Możesz zaakceptować, odrzucić lub osobno wybrać analitykę i opcjonalne treści zewnętrzne. Odrzucenie nie blokuje podstawowych funkcji.

Jeśli rozpoczęta czynność wymaga logowania, możemy zapisać jej stan w pamięci sesji przeglądarki (sessionStorage), aby po zalogowaniu ją kontynuować bez ponownego wypełniania formularza. Zapis może obejmować kurs lub temat, termin i wpisane pytania. Ważność wynosi 30 minut; wygasły zapis nie służy wznowieniu czynności. Mechanizm nie służy reklamie ani analityce. Usunięcie lub zablokowanie pamięci sesji może uniemożliwić automatyczne wznowienie, ale nie wyłącza możliwości ponownego rozpoczęcia czynności.

Wycofanie zgody nie zmienia zgodności wcześniejszego przetwarzania. Zablokowanie cookies niezbędnych w przeglądarce może uniemożliwić logowanie lub płatność.

Kategoria „treści zewnętrzne” służy opcjonalnym osadzeniom. Vimeo DNT dostarcza wybrany film kursowy i jest opisanym wyjątkiem. Zwykłe linki do mediów społecznościowych i partnerów nie przekazują im danych, dopóki ich nie otworzysz.

Korzystamy z odbiorców potrzebnych do działania platformy. Zakres danych zależy od funkcji i roli dostawcy.

Dane mogą otrzymać upoważnieni współpracownicy, dostawcy IT, księgowość, doradcy prawni i organy publiczne, gdy wymaga tego prawo. Imię i nazwisko do certyfikatu jest łączone z prywatnym szablonem w Vercel Blob, ale dokument nie jest publikowany.

Przy Konsultacjach i szkoleniach stacjonarnych korzystamy dodatkowo z Google Calendar i Google Meet do obsługi wydarzeń, zaproszeń i rozmów oraz z Resend do wysyłania potwierdzeń. Zakres przekazywanych danych opisano w sekcji o Konsultacjach, szkoleniach i kalendarzu. Role dostawców i warunki przetwarzania zależą od wykorzystywanej usługi i zawartej umowy; dostawcy mogą przetwarzać część danych także jako odrębni administratorzy, np. dla bezpieczeństwa własnych usług.

Część dostawców ma infrastrukturę poza EOG, zwłaszcza w USA. Transfer może odbywać się tylko z mechanizmem dozwolonym przez rozdział V RODO:

• decyzja Komisji Europejskiej o odpowiednim stopniu ochrony, w tym Ramy Ochrony Danych UE–USA dla certyfikowanego odbiorcy;
• standardowe klauzule umowne Komisji Europejskiej i, gdy potrzeba, dodatkowe zabezpieczenia;
• inna podstawa przewidziana przez RODO.

Szczegóły znajdują się w dokumentach dostawców powyżej. Możesz poprosić nas o informację dotyczącą zabezpieczeń konkretnej usługi.

Zasady te obejmują również dane przekazywane przy obsłudze Konsultacji i szkoleń stacjonarnych przez Google Calendar, Google Meet i Resend. Samo dokonanie rezerwacji lub zakup vouchera nie stanowi zgody na transfer poza EOG ani nie zastępuje wymaganych zabezpieczeń transferu.

• Konto, profil, postęp i wyceny: przez czas konta i usług, a potem tylko dla rozliczeń, bezpieczeństwa lub roszczeń.
• Transakcje i dokumenty: przez okres podatkowy i rachunkowy — co do zasady 5 lat od końca właściwego roku — oraz do przedawnienia roszczeń.
• Korespondencja i reklamacje: do zakończenia sprawy, a następnie do upływu roszczeń lub okresu wymaganego prawem.
• Logi: przez krótki okres konfiguracji infrastruktury; dłużej tylko do wyjaśnienia incydentu, nadużycia lub roszczenia.
• Google Analytics: dane użytkowników i zdarzeń maksymalnie 14 miesięcy; zagregowane raporty mogą pozostać dłużej. Cookies — do 2 lat lub wycofania zgody.
• Wybór cookies: 180 dni od ostatniego zapisu.
• Rezerwacje Konsultacji: do przeprowadzenia spotkania lub zakończenia obsługi niezrealizowanej rezerwacji; następnie dane transakcyjne przez okres wymagany dla rozliczeń, a dane potrzebne do ustalenia, dochodzenia lub obrony roszczeń — do upływu właściwego terminu przedawnienia, a w razie sporu do jego prawomocnego zakończenia. Do dokumentów sprzedaży stosuje się okres wskazany powyżej.
• Pytania, wydarzenia i potwierdzenia: przez okres potrzebny do przygotowania, przeprowadzenia i obsługi Konsultacji; później tylko w zakresie niezbędnym do wyjaśnienia reklamacji lub roszczeń związanych z daną rezerwacją, do zakończenia sprawy i upływu właściwego terminu przedawnienia. Treść pytań nie jest dokumentem księgowym i nie podlega automatycznie takiemu samemu okresowi przechowywania jak faktura.
• Szkolenia stacjonarne i vouchery: dane rezerwacji przechowujemy do przeprowadzenia szkolenia albo zakończenia obsługi niezrealizowanej rezerwacji. Aktywny voucher pozostaje widoczny do wykorzystania, wyłączenia, zwrotu albo upływu 12 miesięcy od zakupu. Po tym czasie jego kod i dane transakcyjne mogą być przechowywane przez okres wymagany dla rozliczeń oraz do upływu terminu przedawnienia roszczeń; nie są już wyświetlane na listach aktywnych voucherów.

Usunięcie konta nie usuwa danych, które musimy zachować dla rozliczeń, obowiązku prawnego lub roszczeń. Po ustaniu celu dane usuwamy, anonimizujemy albo pozostają tylko w kopiach zapasowych do ich zwykłej rotacji.

Wniosek wyślij na akademia@majcake.pl. Możemy potwierdzić tożsamość. Odpowiemy bez zbędnej zwłoki, co do zasady w miesiąc; w skomplikowanej sprawie termin może zostać przedłużony o dwa miesiące, o czym poinformujemy.

Skargę można złożyć przez stronę UODO. Nie stosujemy profilowania marketingowego ani decyzji z art. 22 RODO wywołujących skutki prawne lub podobnie istotny wpływ.

Stosujemy środki adekwatne do ryzyka: HTTPS, zewnętrzne uwierzytelnianie, kontrolę dostępu i ról, weryfikację podpisów Stripe, ograniczenie dostępu administracyjnego oraz monitoring błędów i nadużyć. Żaden system nie eliminuje całego ryzyka.

Politykę aktualizujemy przy zmianie prawa, funkcji, dostawców albo sposobu przetwarzania. Datę i wersję wskazujemy na początku. O istotnej zmianie dla aktywnych kont poinformujemy w serwisie lub e-mailem, jeśli charakter zmiany tego wymaga.

Zasady konta, kursów, konsultacji, zakupów i subskrypcji opisuje Regulamin Akademii MajCake.