Polityka prywatności serwisu Skarbnik Online

Obowiązuje od: 20 października 2026

Poprzednia wersja Polityki obowiązywała od 20 września 2026.

1. Postanowienia ogólne

1.1. Niniejsza Polityka prywatności („Polityka”) określa zasady przetwarzania i ochrony danych osobowych Użytkowników serwisu internetowego Skarbnik Online dostępnego pod adresem skarbnik.online („Serwis”).

1.2. Administratorem danych osobowych Użytkowników jest:

E-mail: kontakt@skarbnik.online

(dalej: „Administrator”).

1.3. Administrator przetwarza dane osobowe zgodnie z:

• rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO),
• ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych,
• ustawą z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej (w zakresie cookies i komunikacji marketingowej),
• innymi obowiązującymi przepisami prawa.

1.4. Kontakt w sprawach ochrony danych osobowych: kontakt@skarbnik.online.

2. Zakres przetwarzanych danych

2.1. Dane zbierane automatycznie

Podczas korzystania z Serwisu Administrator automatycznie zbiera następujące dane techniczne:

• adres IP,
• typ i wersja przeglądarki,
• typ urządzenia (desktop, mobile, tablet),
• system operacyjny,
• data i godzina wizyty,
• strona, z której Użytkownik został przekierowany (referrer),
• strony odwiedzane w Serwisie,
• język przeglądarki.

2.2. Dane podawane podczas rejestracji

Podczas zakładania Konta Użytkownik podaje:

• adres e-mail (wymagany),
• imię i nazwisko (opcjonalnie, jeśli Użytkownik uzupełni profil),
• numer telefonu (opcjonalnie),
• numer rachunku bankowego (opcjonalnie, jeśli Skarbnik wskaże rachunek, na który rodzice mają wpłacać; Serwis przechowuje także jego skrót kryptograficzny i maskę używane do kojarzenia przelewów).

Logowanie do Serwisu jest bezhasłowe. Odbywa się poprzez kod jednorazowy (OTP), link logujący wysyłany na adres e-mail Użytkownika albo imienny Link dostępowy przekazany Rodzicowi przez Skarbnika. Administrator nie zbiera i nie przechowuje haseł do Serwisu.

W przypadku logowania przez SSO (Google, Facebook) Administrator otrzymuje od dostawcy tożsamości:

• adres e-mail,
• identyfikator użytkownika (UID),
• imię i nazwisko (jeśli udostępnione),
• zdjęcie profilowe (jeśli udostępnione).

2.3. Dane wprowadzane podczas korzystania z Serwisu

Skarbnik wprowadza do Serwisu dane dotyczące:

• nazwy Klasy (np. „Klasa 4B”),
• listy Uczniów: imiona i nazwiska, a opcjonalnie adres e-mail i numery telefonu do kontaktu z rodzicami,
• informacji o Zbiórkach (nazwa, cel, kwota, warianty, termin),
• wpłat i wydatków (kwoty, daty, tytuły przelewów, nazwy nadawców, uwagi i notatki),
• danych rachunków bankowych powiązanych z Uczniami lub rodzicami, jeśli Skarbnik zdecyduje się je zapisać; numery rachunków przechowywane są w postaci skrótu kryptograficznego i maski, a pełny numer wyłącznie wtedy, gdy Skarbnik wprowadzi go samodzielnie,
• załączonych plików (np. zdjęcia paragonów, faktury, potwierdzenia przelewów), przechowywanych w usłudze Supabase Storage,
• historii operacji w Klasie: Serwis zapisuje, kto, kiedy i jakiej zmiany dokonał, co służy przejrzystości rozliczeń wobec rodziców i możliwości odtworzenia przebiegu zdarzeń.

Uwaga: Administrator nie przetwarza samodzielnie środków pieniężnych (nie prowadzi rachunków, nie przechowuje pieniędzy). Dane finansowe są wyłącznie informacjami ewidencyjnymi wprowadzanymi przez Skarbnika.

2.4. Dane Uczniów

Dane Uczniów wprowadza do Serwisu Skarbnik, decydując samodzielnie o ich zakresie. Administrator zaleca ograniczenie ich do imienia i nazwiska oraz danych kontaktowych rodzica, a także nieumieszczanie danych szczególnych kategorii (art. 9 RODO), w tym informacji o zdrowiu lub sytuacji rodzinnej, także w polach opisowych i notatkach.

W komunikacji wysyłanej do rodziców Serwis posługuje się wyłącznie imieniem Ucznia. Domyślnie Rodzic widzi dane finansowe dotyczące własnego dziecka; nie widzi nazwisk ani sald innych Uczniów.

Skarbnik może nadać wybranej osobie (np. innemu rodzicowi z grona trójki klasowej lub wychowawcy) dostęp rozszerzony, obejmujący pełne dane Klasy - w tym imiona i nazwiska wszystkich Uczniów oraz zbiorcze rozliczenia. Decyzję o nadaniu takiego dostępu oraz odpowiedzialność za jej zasadność ponosi Skarbnik. Patrz pkt 4.2.

2.5. Dane wrażliwe

Administrator nie zbiera świadomie danych szczególnych kategorii (art. 9 RODO), takich jak dane o stanie zdrowia, pochodzeniu rasowym, poglądach politycznych czy orientacji seksualnej.

Jeżeli Użytkownik wprowadzi takie dane do Serwisu (np. w polu „uwagi”), czyni to na własną odpowiedzialność.

2.6. Piaskownica (Demo)

Odwiedzający może zapoznać się z Serwisem bez zakładania Konta. Każde wejście do Piaskownicy tworzy oddzielną, przykładową klasę z danymi fikcyjnymi, która nie zawiera danych osobowych i jest automatycznie usuwana (patrz pkt 6).

2.7. Wiadomości do Administratora i bank pomysłów

Użytkownik może napisać do Administratora bezpośrednio z Serwisu (funkcja „Napisz do mnie”). Serwis zapisuje wtedy:

• treść wiadomości i całą dalszą rozmowę z Administratorem,
• zrzut ekranu, jeżeli Użytkownik go dołączy; zrzut przechowywany jest w usłudze Supabase Storage i widzą go wyłącznie autor rozmowy i Administrator,
• kontekst techniczny potrzebny do odtworzenia problemu: ekran, z którego wysłano wiadomość, typ i wersję przeglądarki, rozmiar okna, rolę Użytkownika i aktywną Klasę.

Zrzut ekranu może pokazywać dane widoczne w tym momencie na ekranie, w tym dane Uczniów. Administrator zaleca, aby przed wysłaniem sprawdzić, co obejmuje zrzut.

Skarbnik może zgłaszać propozycje funkcji Serwisu, komentować je i głosować na nie w banku pomysłów. Serwis zapisuje treść propozycji i komentarzy oraz oddane głosy. Pozostali Skarbnicy widzą przy wpisie wyłącznie imię autora.

3. Cele i podstawy prawne przetwarzania danych

4. Odbiorcy danych

4.1. Podmioty przetwarzające dane w imieniu Administratora

Administrator powierza przetwarzanie danych osobowych następującym podmiotom (procesorom):

• OVH Sp. z o.o. (Polska; spółka grupy OVHcloud, OVH SAS, Francja; serwer w centrum danych w Warszawie) - hosting aplikacji i bazy danych Serwisu, obsługa żądań HTTP, logi dostępowe,
• Cloudflare, Inc. (USA; ruch obsługiwany przez punkty sieci w Unii Europejskiej, w tym w Warszawie) - ochrona Serwisu przed atakami, szyfrowanie połączeń (TLS), pośredniczenie w ruchu między przeglądarką Użytkownika a serwerem Administratora oraz zagregowane statystyki ruchu,
• Supabase Inc. (USA; instancje w regionie Unii Europejskiej, Frankfurt) - obsługa logowania i kont Użytkowników oraz przechowywanie załączników i zrzutów ekranu dołączonych do wiadomości,
• PostHog Inc. (USA; instancje w regionie Unii Europejskiej, Frankfurt) - analiza ruchu i zachowań Użytkowników; ruch analityczny kierowany jest przez domenę Administratora,
• Amazon Web Services, Inc. (USA; usługi realizowane w regionie Unii Europejskiej, Sztokholm) - wysyłka wszystkich wiadomości e-mail Serwisu przez usługę Amazon SES (kody OTP, linki logujące, powiadomienia o zbiórkach i rozliczeniach, przypomnienia, odpowiedzi na wiadomości do Administratora) oraz przechowywanie zaszyfrowanych kopii zapasowych bazy danych (Amazon S3); klucz do odszyfrowania kopii znajduje się wyłącznie u Administratora.

Administrator nie pośredniczy w płatnościach i nie korzysta z dostawców usług płatniczych. Serwis nie wysyła wiadomości SMS ani wiadomości przez komunikatory. Funkcja generowania treści wiadomości przygotowuje wyłącznie tekst, który Skarbnik kopiuje i wysyła samodzielnie, poza Serwisem; Administrator nie otrzymuje wtedy żadnych danych o odbiorcy ani o wysyłce.

Wszystkie podmioty przetwarzające dane w imieniu Administratora są związane umowami powierzenia przetwarzania danych osobowych zgodnie z art. 28 RODO i przetwarzają dane wyłącznie na polecenie Administratora.

4.2. Inne podmioty

Administrator może przekazać dane osobowe Użytkowników następującym podmiotom:

• organom państwowym (policja, prokuratura, sądy, organy podatkowe) w przypadkach przewidzianych prawem,
• dostawcom usług prawnych i księgowych w zakresie niezbędnym do prowadzenia działalności,
• innym Użytkownikom, w zakresie zależnym od roli nadanej przez Skarbnika: rodzic w roli domyślnej widzi wyłącznie rozliczenie swojego dziecka, natomiast osoba, której Skarbnik nada dostęp rozszerzony (np. wychowawca albo inny rodzic pełniący funkcję w klasie), widzi pełne dane Klasy, w tym imiona i nazwiska wszystkich Uczniów oraz zbiorcze rozliczenia. Patrz pkt 2.4. Propozycje i komentarze w banku pomysłów widzą wszyscy Skarbnicy korzystający z Serwisu, z imieniem autora (pkt 2.7).

5. Przekazywanie danych poza EOG

5.1. Aplikacja i baza danych Serwisu działają na serwerze w Warszawie (OVH Sp. z o.o., Polska). Część pozostałych dostawców usług ma siedzibę w Stanach Zjednoczonych (Cloudflare, Supabase, PostHog, Amazon Web Services), przy czym dane Serwisu przechowywane są w centrach danych w Unii Europejskiej. Dostęp z państwa trzeciego może wystąpić w zakresie obsługi technicznej.

5.2. W takich przypadkach Administrator zapewnia, że przekazanie odbywa się:

• na podstawie decyzji Komisji Europejskiej o adekwatności (art. 45 RODO), w tym w ramach Data Privacy Framework dla podmiotów z USA, lub
• na podstawie odpowiednich zabezpieczeń, takich jak Standardowe Klauzule Umowne (SCC) zatwierdzone przez Komisję Europejską (art. 46 RODO).

5.3. OVH Sp. z o.o. ma siedzibę w Polsce i przetwarza dane na terenie Europejskiego Obszaru Gospodarczego.

5.4. Użytkownik może uzyskać więcej informacji o zabezpieczeniach stosowanych przy przekazywaniu danych poza EOG, kontaktując się z Administratorem: kontakt@skarbnik.online.

6. Okres przechowywania danych

Po upływie okresów przechowywania dane są trwale usuwane lub anonimizowane.

7. Prawa osób, których dane dotyczą

7.1. Katalog praw

Użytkownik ma prawo do:

1. Dostępu do danych (art. 15 RODO) - potwierdzenia, czy Administrator przetwarza jego dane, oraz otrzymania ich kopii.
2. Sprostowania danych (art. 16 RODO) - żądania poprawienia nieprawidłowych lub uzupełnienia niekompletnych danych.
3. Usunięcia danych („prawo do bycia zapomnianym”, art. 17 RODO) - żądania usunięcia danych w przypadkach przewidzianych RODO.
4. Ograniczenia przetwarzania (art. 18 RODO).
5. Przenoszenia danych (art. 20 RODO) - otrzymania danych w ustrukturyzowanym, powszechnie używanym formacie; Serwis udostępnia eksport danych Klasy do pliku XLSX.
6. Sprzeciwu wobec przetwarzania (art. 21 RODO) - wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f).
7. Cofnięcia zgody - w dowolnym momencie, jeżeli przetwarzanie odbywa się na podstawie zgody. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem.
8. Wniesienia skargi do organu nadzorczego (art. 77 RODO) - do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

7.2. Sposób realizacji praw

Użytkownik może skorzystać ze swoich praw:

• samodzielnie w Serwisie: funkcja „Usuń konto” w ustawieniach Konta usuwa Konto, dostęp do wszystkich Klas, powiązania z Uczniami oraz wiadomości do Administratora wraz ze zrzutami ekranu; funkcja „Usuń klasę” trwale kasuje dane danej Klasy wraz z Uczniami, Zbiórkami, wpłatami, wydatkami, załącznikami i historią operacji; funkcja eksportu pozwala pobrać dane Klasy,
• przesyłając żądanie na adres e-mail: kontakt@skarbnik.online.

Administrator odpowiada na żądania bez zbędnej zwłoki, nie później niż w ciągu miesiąca od otrzymania żądania (art. 12 ust. 3 RODO). W skomplikowanych przypadkach termin może zostać przedłużony o kolejne 2 miesiące, o czym Administrator poinformuje Użytkownika.

8. Bezpieczeństwo danych

8.1. Środki bezpieczeństwa

Administrator stosuje odpowiednie środki techniczne i organizacyjne w celu zapewnienia bezpieczeństwa danych osobowych, w szczególności:

• szyfrowanie transmisji - połączenia z Serwisem są szyfrowane protokołem HTTPS (TLS),
• logowanie bezhasłowe - Serwis nie przechowuje haseł; dostęp potwierdzany jest kodem jednorazowym, linkiem logującym lub kontem u dostawcy SSO,
• kontrola dostępu - uprawnienia w Klasie oparte na rolach; rodzic widzi wyłącznie dane własnego dziecka, a dane Klas są od siebie odizolowane,
• ochrona numerów rachunków - numery rachunków używane do kojarzenia przelewów przechowywane są w postaci skrótu kryptograficznego i maski,
• kopie zapasowe - regularne, szyfrowane kopie bazy danych przechowywane poza serwerem aplikacji,
• monitorowanie bezpieczeństwa - logi dostępu, rejestrowanie błędów, wykrywanie nieautoryzowanych prób dostępu,
• aktualizacje - regularne aktualizacje oprogramowania w celu usuwania luk bezpieczeństwa.

8.2. Obowiązki Użytkownika

Ponieważ dostęp do Konta opiera się na skrzynce e-mail, Użytkownik zobowiązany jest do:

• zabezpieczenia dostępu do swojej skrzynki e-mail, na którą wysyłane są kody jednorazowe i linki logujące,
• nieudostępniania osobom trzecim Linków dostępowych do Panelu Rodzica,
• niezwłocznego poinformowania Administratora o podejrzeniu nieautoryzowanego dostępu do Konta.

8.3. Incydenty bezpieczeństwa

W przypadku naruszenia ochrony danych osobowych Administrator podejmie działania przewidziane RODO, w tym:

• zgłoszenie naruszenia Prezesowi UODO w terminie 72 godzin, jeżeli istnieje ryzyko naruszenia praw lub wolności osób fizycznych,
• powiadomienie Użytkowników, których dane dotyczą, jeżeli istnieje wysokie ryzyko.

9. Pliki cookies i technologie śledzące

9.1. Czym są cookies

Pliki cookies to małe pliki tekstowe przechowywane na urządzeniu Użytkownika przez przeglądarkę internetową. Umożliwiają rozpoznanie Użytkownika, zapamiętanie preferencji oraz analizę sposobu korzystania z Serwisu. Zasady ich stosowania określa art. 397 ustawy Prawo komunikacji elektronicznej.

9.2. Rodzaje stosowanych cookies

9.3. Cookies stron trzecich

Serwis korzysta z narzędzia analitycznego PostHog (PostHog Inc., instancje w regionie UE). Ruch analityczny kierowany jest przez domenę Administratora.

Administrator nie korzysta z cookies marketingowych ani reklamowych. W szczególności nie używa Google Analytics, Google Ads, Meta Pixel, TikTok Pixel ani innych narzędzi remarketingowych, nie wyświetla reklam i nie profiluje Użytkowników na potrzeby marketingu zewnętrznego.

Cloudflare, Inc. gromadzi w związku z ochroną Serwisu wyłącznie zagregowane statystyki ruchu (liczba żądań, kody odpowiedzi, kraj pochodzenia, zablokowane zagrożenia). Narzędzie to nie zapisuje plików cookie identyfikujących Użytkownika ani nie służy do śledzenia Użytkownika pomiędzy serwisami.

Informacje o prywatności dostawców: posthog.com/privacy, cloudflare.com/privacypolicy.

9.4. Zarządzanie cookies

Użytkownik może:

• zarządzać zgodą za pomocą banera wyświetlanego przy pierwszej wizycie w Serwisie,
• zmienić ustawienia przeglądarki tak, aby blokowała cookies lub informowała o ich zapisaniu,
• usunąć cookies w ustawieniach przeglądarki.

Uwaga: zablokowanie cookies niezbędnych uniemożliwi zalogowanie się do Serwisu.

Instrukcje zarządzania cookies w popularnych przeglądarkach:

• Chrome: support.google.com/chrome/answer/95647
• Firefox: support.mozilla.org/pl/kb/ciasteczka
• Safari: support.apple.com/pl-pl/guide/safari/sfri11471/mac
• Edge: support.microsoft.com

9.5. Local storage i inne technologie

Serwis wykorzystuje również local storage oraz podobne technologie przeglądarki do przechowywania danych lokalnie na urządzeniu Użytkownika, w tym zapamiętania decyzji dotyczącej cookies oraz stanu interfejsu. Dane te nie są automatycznie przesyłane do serwera.

10. Zautomatyzowane podejmowanie decyzji i profilowanie

10.1. Administrator nie podejmuje w pełni zautomatyzowanych decyzji wywołujących skutki prawne wobec Użytkownika lub w podobny sposób istotnie wpływających na jego sytuację (art. 22 RODO).

10.2. Serwis wykorzystuje mechanizmy automatyczne w ograniczonym zakresie:

• kojarzenie wpłat - algorytm proponuje dopasowanie transakcji z wyciągu bankowego do Ucznia na podstawie tytułu przelewu, kwoty i numeru rachunku. Propozycja wymaga zatwierdzenia przez Skarbnika,
• wybór przypomnień - Serwis dobiera treść i moment wiadomości przypominającej na podstawie stanu rozliczeń w Klasie,
• analiza zachowań - PostHog analizuje sposób korzystania z Serwisu w celu optymalizacji, po wyrażeniu zgody na cookies analityczne.

10.3. Użytkownik ma prawo do uzyskania interwencji ludzkiej, wyrażenia swojego stanowiska oraz zakwestionowania wyniku takiego przetwarzania, kontaktując się z Administratorem.

11. Komunikacja e-mail

11.1. Administrator wysyła Użytkownikom wiadomości transakcyjne niezbędne do świadczenia Usług: kody jednorazowe i linki logujące, potwierdzenia, powiadomienia o zbiórkach, przypomnienia o wpłatach, podsumowania rozliczeń oraz odpowiedzi na wiadomości wysłane do Administratora. Podstawą jest wykonanie umowy oraz prawnie uzasadniony interes w przejrzystym rozliczeniu zbiórki.

11.2. Wiadomości marketingowe (informacje o nowościach w Serwisie) Administrator wysyła wyłącznie po uzyskaniu wyraźnej zgody, zgodnie z art. 398 Prawa komunikacji elektronicznej.

11.3. Użytkownik może w każdej chwili zrezygnować z otrzymywania wiadomości poprzez:

• kliknięcie odnośnika rezygnacji w otrzymanej wiadomości,
• zmianę ustawień w panelu Konta,
• przesłanie żądania na adres: kontakt@skarbnik.online.

11.4. Rezygnacja z wiadomości marketingowych i przypominających nie wstrzymuje wiadomości niezbędnych do korzystania z Konta (np. kodów logowania, informacji o zmianach w Regulaminie).

12. Prawa dzieci

12.1. Serwis jest przeznaczony dla osób pełnoletnich. Administrator nie kieruje Serwisu do dzieci i nie tworzy dla nich Kont.

12.2. Dane Uczniów (w tym dzieci) trafiają do Serwisu wyłącznie za sprawą Skarbnika, który samodzielnie decyduje o zakresie wprowadzanych danych i o tym, komu udziela dostępu do Klasy. Administrator zaleca ograniczenie tych danych do niezbędnego minimum, zgodnie z pkt 2.4.

12.3. Rodzic lub opiekun prawny może w każdej chwili zwrócić się do Skarbnika o usunięcie danych dziecka z Klasy, a także skontaktować się bezpośrednio z Administratorem: kontakt@skarbnik.online.

13. Zmiany Polityki prywatności

13.1. Administrator zastrzega sobie prawo do wprowadzania zmian w Polityce prywatności w przypadku:

• zmian przepisów prawa,
• zmian w sposobie przetwarzania danych (np. wprowadzenia nowych funkcji),
• zmian dostawców usług,
• wytycznych organów nadzorczych.

13.2. O zmianach Administrator poinformuje Użytkowników z co najmniej 14-dniowym wyprzedzeniem poprzez komunikat w Serwisie lub wiadomość e-mail.

13.3. Dalsze korzystanie z Serwisu po wejściu w życie zmian oznacza zapoznanie się z nową Polityką prywatności.

14. Dane kontaktowe

Pytania, wnioski lub skargi dotyczące przetwarzania danych osobowych można kierować na adres:

E-mail: kontakt@skarbnik.online

15. Data wejścia w życie

Niniejsza Polityka prywatności wchodzi w życie z dniem 20 października 2026.