Kto odpowiada za dane
Administratorem danych przetwarzanych przez Tuliqo we własnych celach jest Tuliqo, adres: Dane do uzupełnienia przed uruchomieniem sprzedaży, NIP: do uzupełnienia, rejestr: do uzupełnienia.
Kontakt w sprawach prywatności: rodo@tuliqo.pl.
Ta Polityka opisuje przetwarzanie związane ze stroną Tuliqo, kontem, aplikacją mobilną, umową, wsparciem, bezpieczeństwem, rekrutacją do Placówki i zgłoszeniami treści. Gdy administratorem jest Placówka, jej własna klauzula informacyjna określa cele, podstawy i okresy przetwarzania.
Kiedy odpowiada Tuliqo, a kiedy Placówka
Ustala cele przetwarzania danych potrzebnych do konta i uwierzytelniania, zawarcia i rozliczenia umowy, obsługi wsparcia, zabezpieczenia platformy, audytu, dochodzenia roszczeń, wysyłki technicznych powiadomień oraz wykonania obowiązków prawnych, w tym DSA.
Ustala cele przetwarzania danych dzieci, opiekunów, osób upoważnionych, kandydatów i pracowników oraz treści dokumentacji, wiadomości, galerii, obecności, posiłków, zdrowia, rozliczeń i dzienników. Tuliqo przetwarza je na udokumentowane polecenie Placówki.
Role ocenia się dla konkretnej operacji, a nie dla całej bazy. Ta sama informacja może być powierzona przez Placówkę, a w ograniczonym zakresie przetwarzana przez Tuliqo we własnym celu, np. gdy jest potrzebna w rejestrze bezpieczeństwa, reklamacji albo zgłoszeniu bezprawnej treści.
Warunki przetwarzania na rzecz Placówki określa Umowa powierzenia danych. Aktualnych odbiorców i dostawców opisuje strona Odbiorcy i dostawcy.
Jakie dane i skąd je otrzymujemy
- Konto i tożsamość: imię, nazwisko, e-mail, login, zaszyfrowany skrót hasła, status konta, role, Placówki, preferowany język, ustawienia MFA i historia sesji.
- Organizacja i umowa: firma, NIP, rejestr, adres, osoby reprezentujące i kontaktowe, dane do faktury, Plan, limity, faktury, płatności i rozrachunki.
- Urządzenie i bezpieczeństwo: adres IP, znaczniki czasu, identyfikator sesji, typ urządzenia i aplikacji, przybliżone dane techniczne, wykonane operacje, nieudane logowania, rejestry dostępu i błędów.
- Aplikacja mobilna: platforma, identyfikator instalacji, token powiadomień push, data rejestracji i ostatniego użycia urządzenia. Tuliqo nie potrzebuje stałego dostępu do dokładnej lokalizacji urządzenia.
- Kontakt i wsparcie: adres kontaktowy, treść zgłoszenia, załączniki, przebieg obsługi i informacje diagnostyczne przekazane przez zgłaszającego.
- Zgłoszenia DSA: dane zgłaszającego, wskazanie Treści, uzasadnienie, oświadczenie dobrej wiary, korespondencja, decyzja, uzasadnienie i odwołanie.
- Rekrutacja do Placówki: dane dziecka i opiekuna, kontakt, planowana data rozpoczęcia, preferencje, treść zgłoszenia, status i wersja przedstawionej informacji. Publiczny formularz nie wymaga PESEL ani dokumentu tożsamości.
- Dane powierzone przez Placówkę: dane osobowe i kontaktowe, PESEL lub dokument tożsamości, obywatelstwo, adres, upoważnienia, umowy, obecności, godziny pobytu, nieobecności, posiłki, alergie, diety, zdrowie, zdarzenia, dokumentacja edukacyjna i specjalistyczna, rozliczenia, świadczenia, wiadomości, zdjęcia, filmy i pliki – zależnie od włączonych modułów.
Dane otrzymujemy od Ciebie, od Klienta lub Placówki, od innego uprawnionego opiekuna albo pracownika, automatycznie z urządzenia oraz od operatora płatności. Jeżeli dane nie pochodzą od Ciebie, Placówka odpowiada za przekazanie informacji z art. 14 RODO, a Tuliqo pomaga jej w tym zakresie.
Cele i podstawy prawne Tuliqo
| Cel | Zakres i podstawa |
|---|---|
| Konto, dostęp i usługa | wykonanie umowy – art. 6 ust. 1 lit. b RODO; w przypadku użytkownika działającego dla Klienta także uzasadniony interes w wykonaniu umowy z Klientem – lit. f |
| Umowa, abonament i płatności | art. 6 ust. 1 lit. b; obowiązki rachunkowe i podatkowe – lit. c; ustalenie i obrona roszczeń – lit. f |
| Bezpieczeństwo, audyt, zapobieganie nadużyciom i diagnostyka | uzasadniony interes Tuliqo, Klientów i użytkowników polegający na ochronie osób, danych i ciągłości usługi – art. 6 ust. 1 lit. f; obowiązki prawne – lit. c |
| Wsparcie, reklamacje i korespondencja | wykonanie umowy – art. 6 ust. 1 lit. b; obowiązek prawny lub uzasadniony interes w obsłudze zgłoszenia i wykazaniu prawidłowego działania – lit. c lub f |
| Powiadomienia techniczne i transakcyjne | wykonanie umowy – art. 6 ust. 1 lit. b; push na urządzenie jest uruchamiany przez Użytkownika i może zostać wyłączony w ustawieniach |
| Zgłoszenia bezprawnych Treści i nakazy organów | obowiązek prawny wynikający z DSA i innych przepisów – art. 6 ust. 1 lit. c; ochrona praw i bezpieczeństwa – lit. f |
| Zapytanie ofertowe lub rejestracja Klienta | działania przed zawarciem umowy – art. 6 ust. 1 lit. b; kontakt z reprezentantem podmiotu – lit. f |
| Treści operacyjne Placówki | Tuliqo działa jako procesor na podstawie art. 28 RODO; podstawę wobec osoby, w tym dla danych szczególnej kategorii, ustala Placówka |
Podanie danych oznaczonych jako wymagane jest konieczne do założenia konta, wykonania umowy albo rozpoznania zgłoszenia. Nie stosujemy decyzji wywołujących skutki prawne wobec Użytkownika, podejmowanych wyłącznie automatycznie, ani profilowania reklamowego dzieci.
Jeżeli w przyszłości Tuliqo wprowadzi marketing elektroniczny lub niekonieczne narzędzia analityczne, zastosuje odrębną podstawę prawną i mechanizm zgody, gdy będzie ona wymagana.
Dane dzieci, zdrowie i wizerunek
Tuliqo jest przeznaczone dla dorosłych zarządzających opieką i edukacją; dziecko nie zakłada samodzielnie konta. Dane dziecka są wprowadzane przez Placówkę lub uprawnionego opiekuna na zasadach ustalonych przez Placówkę.
Informacje o alergiach, diecie, zdrowiu, niepełnosprawności, zdarzeniach opiekuńczych i pracy specjalisty mogą stanowić dane szczególnej kategorii. Placówka musi określić właściwą podstawę z art. 6 i 9 RODO, ograniczyć zakres, dostęp i retencję oraz nie wykorzystywać zwykłej zgody jako podstawy, gdy przetwarzanie wynika wprost z prawa albo obowiązku Placówki.
Zdjęcia i materiały w galerii są dostępne tylko wskazanym osobom i nie są publikowane publicznie przez Tuliqo. Placówka odpowiada za podstawę utrwalania i udostępniania wizerunku oraz za respektowanie zgłoszonych ograniczeń. Operator technicznie zmniejsza zdjęcia w wiadomościach i może usuwać stare pliki zgodnie z poleceniem i polityką Placówki.
Komu dane mogą być ujawnione
Dostęp otrzymują wyłącznie osoby upoważnione stosownie do roli: rodzic do powiązanych dzieci, pracownik do przydzielonych Placówek, grup lub zadań, dyrektor i upoważniony personel do zakresu potrzebnego do zarządzania, a administrator techniczny tylko w niezbędnym zakresie wsparcia i bezpieczeństwa.
Dane mogą otrzymać dostawcy infrastruktury i kopii zapasowych, Object Storage, poczty, powiadomień mobilnych, wsparcia, księgowości i obsługi prawnej – na podstawie umowy i wyłącznie w koniecznym zakresie. Operator płatności, bank, KSeF, ZUS lub inny organ może działać jako odrębny administrator, gdy sam określa prawne cele przetwarzania.
Aktualna, bardziej szczegółowa lista znajduje się na stronie Odbiorcy i dostawcy. Dane mogą zostać ujawnione sądowi, organowi nadzorczemu, ścigania lub innemu uprawnionemu organowi na prawidłowej podstawie prawnej.
Przekazywanie poza EOG
Podstawowa infrastruktura produkcyjna i Object Storage są planowane w Europejskim Obszarze Gospodarczym. Niektóre usługi globalne, w szczególności Firebase Cloud Messaging, mogą jednak powodować dostęp lub przekazanie danych poza EOG.
Takie przekazanie następuje wyłącznie na podstawie mechanizmu dopuszczonego przez RODO, np. decyzji Komisji Europejskiej o odpowiednim stopniu ochrony, Ram Ochrony Danych UE–USA albo standardowych klauzul umownych, po ocenie wymaganych środków uzupełniających. Informację o właściwym zabezpieczeniu można uzyskać pod adresem rodo@tuliqo.pl.
Jak długo przechowujemy dane
- Konto i relacja z Użytkownikiem: przez aktywność konta, a następnie do zakończenia rozliczeń i upływu właściwego okresu roszczeń; dane zbędne są usuwane wcześniej.
- Dokumenty umowne, faktury i płatności: przez okres wymagany przepisami rachunkowymi i podatkowymi oraz potrzebny do rozliczeń i roszczeń.
- Rejestry bezpieczeństwa i audytu: standardowo 180 dni, chyba że dłuższe przechowanie jest konieczne do wyjaśnienia incydentu, wykonania obowiązku prawnego lub obrony roszczeń.
- Token urządzenia i sesje: do wyrejestrowania urządzenia, cofnięcia sesji, wygaśnięcia technicznej przydatności albo usunięcia konta.
- Wsparcie, reklamacje i DSA: do zakończenia sprawy, a później przez okres niezbędny do rozliczalności i roszczeń.
- Publiczna rekrutacja: odrzucone i wycofane zgłoszenia przez okres ustawiony przez Placówkę; zgłoszenie zakończone utworzeniem karty dziecka jest anonimizowane najpóźniej po 90 dniach, ponieważ właściwe dane są już w dokumentacji Placówki.
- Dane powierzone: według udokumentowanych poleceń i prawa właściwego Placówce. Po zakończeniu umowy Klient otrzymuje czas na eksport, a dane są usuwane z systemu aktywnego; zaszyfrowane lub odizolowane kopie wygasają w zwykłym cyklu retencji.
Placówka nie powinna przechowywać danych „na zawsze”. Tuliqo udostępnia mechanizmy dezaktywacji, eksportu i czyszczenia zdjęć lub plików, lecz to Placówka określa okres wynikający z celu i przepisów.
Bezpieczeństwo i naruszenia
Stosujemy środki dobrane do ryzyka danych dzieci i dokumentacji Placówek, w tym szyfrowanie transmisji, indywidualne konta, kontrolę ról i kontekstu Placówki, ochronę haseł i MFA, rejestrowanie istotnych operacji, ochronę przed nadużyciami logowania, prywatne zasoby plików, kopie zapasowe, aktualizacje, monitoring i procedurę reagowania na incydenty.
Żadne zabezpieczenie nie usuwa całego ryzyka. Użytkownik powinien chronić urządzenie, używać unikalnego hasła, włączyć MFA, nie przekazywać kodów i niezwłocznie zgłosić podejrzaną aktywność. Szczegółów, które ułatwiłyby obejście zabezpieczeń, nie publikujemy.
Gdy Tuliqo jako procesor stwierdzi naruszenie danych powierzonych, informuje właściwego Klienta bez zbędnej zwłoki i przekazuje dostępne informacje potrzebne do oceny ryzyka. To administrator ocenia obowiązek zgłoszenia do UODO w ciągu 72 godzin oraz zawiadomienia osób; Tuliqo wspiera go zgodnie z Umową powierzenia. W zakresie własnych danych Tuliqo wykonuje te obowiązki samodzielnie.
Twoje prawa
Zależnie od podstawy i okoliczności możesz żądać dostępu i kopii danych, sprostowania, usunięcia, ograniczenia, przeniesienia oraz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie. Jeżeli podstawą jest zgoda, możesz ją wycofać bez wpływu na wcześniejsze przetwarzanie.
W sprawach konta Tuliqo, umowy, bezpieczeństwa, wsparcia lub DSA napisz na rodo@tuliqo.pl. Sprawy danych dziecka, opiekuna, pracownika, rozliczeń Placówki lub dokumentacji należy kierować przede wszystkim do Placówki; przekażemy jej żądanie albo pomożemy je wykonać.
Po zalogowaniu możesz także złożyć i śledzić wniosek w sekcji Moje konto → Wnioski dotyczące danych. System kieruje go do Tuliqo albo wskazanej Placówki i zapisuje historię realizacji.
Możemy poprosić o informacje niezbędne do bezpiecznej weryfikacji tożsamości. Odpowiadamy bez zbędnej zwłoki, co do zasady w miesiąc. Masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych: uodo.gov.pl.
Zmiany i kontakt
Polityka może zostać zaktualizowana z powodu zmian prawa, funkcji, dostawców, retencji lub środków bezpieczeństwa. Aktualna wersja i data obowiązywania znajdują się na początku. O istotnej zmianie dotyczącej zalogowanych Użytkowników poinformujemy w Tuliqo lub e-mailem.
Oficjalny tekst RODO: EUR-Lex. Kontakt z Tuliqo: rodo@tuliqo.pl.