Polityka prywatności

Ten dokument opisuje, jakie dane przetwarza BZDZ Radio i w jakim celu. Miejsca oznaczone jako [DO UZUPEŁNIENIA PRZEZ SZKOŁĘ], w tym podstawy prawne i okresy retencji danych, musi uzupełnić administrator danych (szkoła) przed wdrożeniem.

1. Jakie dane zbieramy

• Nick i klasa, podane przy zakładaniu konta. Nie zbieramy imienia ani nazwiska.
• Adres email, wyłącznie jeżeli użytkownik zdecyduje się go podać. Służy jedynie do samodzielnego odzyskania hasła.
• Hasło, przechowywane wyłącznie w formie zahaszowanej, nigdy jawnie.
• Jednorazowy kod dostępu, przechowywany wyłącznie w formie zahaszowanej, wraz z informacją, które konto go wykorzystało.
• Tokeny resetu hasła, przechowywane w formie zahaszowanej, ważne przez 60 minut i jednorazowe.
• Historia zgłoszonych utworów, powiązana z kontem ze względu na limity dzienne, bezpieczeństwo i audyt.
• Oddane głosy na poszczególne odtworzenia utworów.
• Statystyki wyliczane z powyższej historii: liczba zagranych utworów, czas antenowy, bilans zebranych głosów, zdobyte odznaki. Nie są to nowe dane, tylko podsumowanie tego, co system i tak zapisuje.
• Informacja, czy użytkownik zgodził się na udział w publicznym rankingu, wraz z datą tej decyzji.
• Logi techniczne: adresy endpointów, znaczniki czasu, identyfikatory żądań, informacje o błędach. Wyłącznie do celów działania systemu, bezpieczeństwa, diagnostyki i audytu administracyjnego.
• Rejestr operacji administracyjnych: kto i kiedy zmienił ustawienia, role lub decyzje moderacyjne.
• Zbiorcze liczniki użycia funkcji aplikacji: ile razy dziennie otwarto sklep, ranking czy podsumowanie roku. Liczniki nie zawierają identyfikatora konta i nie da się z nich odczytać, kto co robił. Żeby móc policzyć osoby, a nie kliknięcia, zapisujemy obok nich pseudonim ważny wyłącznie w obrębie jednej doby i jednej funkcji: jest tworzony nieodwracalnym skrótem, jest inny każdego dnia i inny dla każdej funkcji, więc nie łączy zachowania tej samej osoby ani między dniami, ani między funkcjami. Pseudonimy usuwamy po 30 dniach, same liczniki zostają.

2. Czego nie zbieramy

Nie zbieramy imienia, nazwiska ani żadnych danych kontaktowych poza dobrowolnym adresem email. Aplikacja nie zawiera Google Analytics, pikseli śledzących, reklam ani jakichkolwiek zewnętrznych systemów profilowania użytkowników. Logi techniczne nie są wykorzystywane do celów marketingowych.

Nie budujemy profilu zachowania żadnego użytkownika. Liczniki użycia funkcji opisane wyżej służą wyłącznie do jednej decyzji: czy dana część aplikacji jest komukolwiek potrzebna, czy można ją usunąć. Nie mierzymy czasu spędzonego na żadnym ekranie, drogi przejścia między zakładkami ani niczego, co dałoby się złożyć w obraz pojedynczej osoby.

3. Szczególna ochrona danych uczniów

Dane przetwarzane w systemie dotyczą w większości niepełnoletnich uczniów szkoły. Dostęp do danych osobowych mają wyłącznie administratorzy systemu. Obsługa radiowęzła, mimo dostępu do kolejki i biblioteki utworów, nie ma wglądu w konta użytkowników ani w kody dostępu.

Kolejka utworów jest anonimowa. Standardowy widok zarządzania utworami nie pokazuje, kto zgłosił dany utwór. Powiązanie to istnieje w bazie danych wyłącznie ze względów bezpieczeństwa, limitów dziennych i audytu.

Klasa nie jest nigdzie prezentowana obok nicku. W zestawieniach zbiorczych widnieje samo oznaczenie klasy, bez listy osób, które do niej należą.

Publiczny ranking jest dobrowolny. Nick ucznia pojawia się w nim wyłącznie po wyrażeniu odrębnej zgody, którą można w każdej chwili cofnąć w ustawieniach profilu, ze skutkiem natychmiastowym. Statystyki i odznaki uczniów bez zgody istnieją wyłącznie w ich własnym, prywatnym podsumowaniu.

Liga klas nie wymaga zgody, bo nie prezentuje osób: pokazuje oznaczenie klasy i liczby zbiorcze. Klasy o bardzo małej liczbie kont są z niej wyłączone, ponieważ w takiej klasie wynik zbiorczy wskazywałby konkretnego ucznia.

Odznaki oparte na słabszych wynikach mają charakter żartobliwy i są widoczne wyłącznie dla ich właściciela. Nie trafiają do rankingu, do profilu publicznego ani na kartę podsumowania przeznaczoną do pobrania, także wtedy, gdy uczeń ma włączony profil publiczny.

4. Podstawa prawna i okres przechowywania

[DO UZUPEŁNIENIA PRZEZ SZKOŁĘ: podstawa prawna przetwarzania danych (np. zgoda, zadanie realizowane w interesie publicznym) oraz okresy retencji poszczególnych kategorii danych.]

5. Odbiorcy danych

Poniżej wymieniono wszystkie usługi zewnętrzne, z którymi system się komunikuje, wraz z zakresem przekazywanych informacji.

• Hosting aplikacji: ruch użytkowników do aplikacji. [DO UZUPEŁNIENIA PRZEZ SZKOŁĘ: nazwa dostawcy i lokalizacja serwerów.]
• Baza danych PostgreSQL: wszystkie dane opisane w punkcie 1. [DO UZUPEŁNIENIA PRZEZ SZKOŁĘ: nazwa dostawcy i lokalizacja serwerów.]
• Google AI: tytuł, opis i tekst utworu, w celu automatycznej moderacji treści. Nie są przekazywane żadne dane osobowe użytkownika.
• Deezer: tytuł i wykonawca utworu, w celu pobrania gatunku, tempa i oznaczenia treści dla dorosłych. Bez danych osobowych.
• LRCLIB: tytuł i wykonawca utworu, w celu pobrania tekstu do moderacji. Bez danych osobowych.
• YouTube: identyfikator filmu, w celu pobrania tytułu i miniatury oraz odtworzenia utworu. Bez danych osobowych.
• Dostawca poczty: adres email użytkownika, wyłącznie przy wysyłce linku resetującego hasło. Tylko jeżeli użytkownik podał adres.

[DO UZUPEŁNIENIA PRZEZ SZKOŁĘ: pełna lista podmiotów przetwarzających wraz z umowami powierzenia, jeśli dotyczy.]

6. Prawa użytkownika

Konto możesz usunąć samodzielnie: Profil → Usunięcie konta i danych. Wniosek wymaga potwierdzenia hasłem i wykonuje się po 14 dniach. W tym czasie nie da się go wycofać samodzielnie. Jeśli zmienisz zdanie, napisz przez formularz zgłoszeń, a administrator wniosek anuluje.

Co usuwamy: nick, adres e-mail, imię i nazwisko (jeśli konto je miało), hasło, klasę, ustawienia wyglądu, zgodę na ranking publiczny, odznaki, kartę podsumowania roku oraz treść wysłanych zgłoszeń. Po wykonaniu wniosku nie da się zalogować, a konta nie da się odzyskać.

Czego nie usuwamy i dlaczego: Twoje głosy i zgłoszone utwory zostają w statystykach szkoły, ale odpięte od Twojej tożsamości. Nie da się już ustalić, że należały do Ciebie. Nie kasujemy ich, bo współdecydowały o tym, co faktycznie grało na antenie: ich zniknięcie zmieniłoby liczby w podsumowaniach innych osób i w już zamkniętych rankingach. Zostaje też rejestr operacji administracyjnych (bez powiązania z Tobą), który jest zapisem tego, kto i kiedy podejmował decyzje w systemie.

[DO UZUPEŁNIENIA PRZEZ SZKOŁĘ: procedura realizacji praw dostępu i sprostowania danych oraz dane kontaktowe administratora danych.]