Polityka Prywatności
Niniejszy dokument określa zasady przetwarzania danych osobowych użytkowników Panelu CEEA (panel.ceea.org.pl) oraz wykorzystywania plików cookies w związku z korzystaniem z usług edukacyjnych Europejskiej Fundacji ds. Szkolenia w Anestezjologii.
1 Administrator danych osobowych
Administratorem danych osobowych przetwarzanych w ramach Panelu CEEA jest:
Europejska Fundacja ds. Szkolenia w Anestezjologii
ul. Sokolnicka 56, 62-021 Paczkowo
NIP: 777-314-61-00
KRS: 0000347155
Email: sekretariat@ceea.org.pl
2 Zakres i cel przetwarzanych danych
Dane uczestników kursów
| Dane | Cel | Okres |
|---|---|---|
| Adres email | Autentykacja, wysyłka magicznego linku logowania | Czas trwania kursu + 1 rok |
| Identyfikator sesji | Utrzymanie stanu zalogowania | 30 dni lub do wylogowania |
| Adres IP | Logi bezpieczeństwa, zapobieganie nadużyciom | 90 dni |
Dane administratorów (TOTP)
- Adres email — autentykacja dwuetapowa (TOTP)
- Klucz TOTP (base32) — generowany lokalnie, nie przechowywany w bazie
- Kody awaryjne (hash bcrypt) — odzyskiwanie dostępu
Dane z Airtable
Dane uczestników (email, imię, nazwisko) są przechowywane w Airtable przed rejestracją w panelu. Panel sprawdza wyłącznie, czy email istnieje w bazie zapisów na kurs — nie przechowuje danych osobowych poza adresem email.
3 Podstawa prawna przetwarzania
Wykonanie umowy
Przetwarzanie emaila i sesji jest niezbędne do świadczenia usługi edukacyjnej (dostęp do materiałów kursowych) na podstawie umowy zawartej przy zapisie na kurs.
Prawnie uzasadniony interes
Logi bezpieczeństwa (IP) oraz pliki cookies techniczne przetwarzamy w celu zapewnienia bezpieczeństwa systemu i zapobiegania nadużyciom.
Zgoda
W przypadku opcjonalnych funkcji (np. newsletter, analityka) — zgoda może być wymagana. Obecnie panel nie wykorzystuje tej podstawy.
Dane szczególnych kategorii
Nie przetwarzamy danych wrażliwych (zdrowie, orientacja, wyznanie). Dane medyczne związane z kursami anestezjologii są przechowywane wyłącznie w Airtable, poza panelem.
5 Podmioty przetwarzające (procesorzy)
Dane osobowe mogą być przekazywane podmiotom zewnętrznym wyłącznie w zakresie niezbędnym do świadczenia usług. Wszystkie podmioty działają na podstawie umów powierzenia przetwarzania danych (DPA).
Supabase Inc.
USA / EUBaza danych PostgreSQL, autentykacja, storage. Dane przechowywane w regionie EU (Frankfurt).
Cloudinary Ltd.
USAHosting plików (materiały kursowe, certyfikaty). Pliki przechowywane z wykorzystaniem szyfrowania AES-256.
Polityka prywatności →Railway Corp.
USAHosting aplikacji (Node.js). Serwery w regionie EU (Amsterdam).
Polityka prywatności →Airtable
USABaza danych rejestracyjnych (sprawdzenie, czy użytkownik jest zapisany na kurs). Panel odpytuje Airtable, ale nie przechowuje tych danych lokalnie.
Polityka prywatności →Transfer danych poza EOG: Niektóre podmioty (Supabase, Cloudinary, Railway, Airtable) mają siedzibę w USA. Wszystkie transfery odbywają się na podstawie Standardowych Klauzul Umownych (SCC) zatwierdzonych przez Komisję Europejską lub Decyzji Komisji w sprawie adekwatności (EU-US Data Privacy Framework).
6 Bezpieczeństwo danych
Szyfrowanie TLS 1.3
Wszystkie połączenia HTTPS z certyfikatem Let's Encrypt.
Autentykacja dwuetapowa (TOTP)
Dostęp administratorów wymaga kodu z aplikacji Google Authenticator.
Magic Link (bez haseł)
Użytkownicy nie tworzą haseł — logowanie przez jednorazowy link email.
Wygasanie sesji
Sesja użytkownika wygasa po 30 dniach nieaktywności. Linki magiczne — po 1h.
Walidacja domeny
Dostęp do panelu admina tylko z autoryzowanej subdomeny.
Logi dostępu
Rejestracja adresów IP i timestampów dla celów bezpieczeństwa (90 dni).
7 Prawa użytkownika (RODO)
Zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), przysługują Ci następujące prawa:
Dostęp do danych
Masz prawo uzyskać informację, czy i jakie dane o Tobie przetwarzamy. Wyciąg z danych dostarczamy w ciągu 30 dni.
Sprostowanie
Jeśli Twoje dane są nieprawidłowe lub nieaktualne — masz prawo żądać ich poprawienia.
Usunięcie ("prawo do bycia zapomnianym")
Możesz żądać usunięcia danych, jeśli nie są już niezbędne do celów, dla których zostały zebrane. Ograniczenie: obowiązki archiwalne i księgowe
Ograniczenie przetwarzania
Możesz żądać wstrzymania przetwarzania danych, np. w trakcie rozpatrywania sprzeciwu.
Przenoszalność
Masz prawo otrzymać swoje dane w ustrukturyzowanym formacie (JSON, CSV) i przesłać je innemu administratorowi.
Sprzeciw
W przypadku przetwarzania na podstawie prawnie uzasadnionego interesu — możesz wnieść sprzeciw z powodów związanych z Twoją szczególną sytuacją.
Prawo do wniesienia skargi
Jeśli uznasz, że przetwarzanie danych narusza przepisy RODO, masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych:
ul. Stawki 2, 00-193 Warszawa
www.uodo.gov.pl
8 Kontakt w sprawach danych
Administrator danych
Europejska Fundacja ds. Szkolenia w Anestezjologii
ul. Sokolnicka 56, 62-021 Paczkowo
Odpowiadamy na wnioski w ciągu 30 dni. W skomplikowanych przypadkach możemy przedłużyć ten termin o kolejne 60 dni, informując Cię o powodach opóźnienia.