Polityka prywatności oraz plików cookies

1. Niniejsza Polityka Prywatności określa zasady przetwarzania danych osobowych Użytkowników aplikacji BrainPump (dalej: „Serwis”) oraz zasady wykorzystywania plików cookies.

2. Administratorem danych osobowych jest BRAINIFY Sp. z o.o. z siedzibą w Warszawie (03-140), ul. Odkryta 29A/28, wpisana do rejestru przedsiębiorców KRS pod numerem 0001268234, NIP 5243083448 (dalej: „Administrator”).

3. Kontakt w sprawach ochrony danych osobowych możliwy jest pod adresem e-mail: administrator@brainpump.pl oraz telefonicznie pod numerem +48 786 498 405. Ze względu na skalę i charakter przetwarzania danych Administrator nie jest obecnie zobowiązany do wyznaczenia Inspektora Ochrony Danych (art. 37 RODO); Administrator będzie monitorował, czy rozwój Serwisu (w tym zakres przetwarzanych danych niepełnoletnich) nie zaktualizuje tego obowiązku.

4. Podstawą prawną przetwarzania danych osobowych jest Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) oraz ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych.

5. Niniejsza Polityka Prywatności wchodzi w życie z dniem 2 października 2026 r.

1. W związku z korzystaniem z Serwisu Administrator przetwarza następujące kategorie danych:

a) dane konta: adres e-mail, pseudonim, hasło (przechowywane w formie zahaszowanej) oraz data urodzenia — dane wymagane przy rejestracji; imię i nazwisko — wymagane na kolejnym etapie konfiguracji Konta (onboardingu); nazwa szkoły — podawana opcjonalnie;

b) dane profilowe: wybrany typ matury (podstawowa/rozszerzona), deklarowany poziom startowy oraz cel nauki — dane wymagane do ukończenia konfiguracji Konta; planowana uczelnia i kierunek studiów oraz odpowiedź na pytanie, skąd Użytkownik dowiedział się o BrainPump — podawane opcjonalnie;

c) dane o aktywności edukacyjnej: historia rozwiązanych zadań, poprawność odpowiedzi, popełniane błędy, czas nauki, postępy w Planie Maturalnym, zgromadzone XP, poziom awatara Mocy Mózgu, wskaźnik opanowania materiału oraz udział w Squad i Pojedynkach maturalnych;

d) dane transakcyjne: informacje o zakupionym Pełnym Dostępie i historii płatności (bez danych karty płatniczej, którą przetwarza wyłącznie Przelewy24 — zob. § 4);

e) dane techniczne: adres IP, typ i wersja przeglądarki, system operacyjny, identyfikatory urządzenia, logi zdarzeń (w celach bezpieczeństwa i diagnostyki);

f) dane kontaktowe podane w zgłoszeniach, reklamacjach lub wiadomościach do Administratora;

g) w przypadku Użytkowników w wieku 13–17 lat — dane rodzica/opiekuna prawnego niezbędne do udzielenia i weryfikacji zgody na zawarcie Umowy oraz na przetwarzanie danych dziecka (adres e-mail rodzica/opiekuna, data i sposób potwierdzenia zgody).

2. Serwis nie wymaga i nie przetwarza numeru telefonu Użytkownika — logowanie odbywa się wyłącznie za pomocą adresu e-mail i hasła, a komunikacja (w tym kody i powiadomienia) prowadzona jest drogą elektroniczną na adres e-mail, zgodnie z zasadą minimalizacji danych (art. 5 ust. 1 lit. c RODO).

3. Podanie nazwy szkoły, planowanej uczelni i kierunku studiów oraz źródła informacji o BrainPump jest dobrowolne; pominięcie tych pól nie ogranicza dostępu do Serwisu. Dane o planach studiów służą wskazaniu przez Użytkownika jego celu edukacyjnego w profilu, a deklarowane źródło informacji — zbiorczym statystykom pozyskiwania Użytkowników. Nie są to dane pozyskiwane przez cookies analityczne.

1. Dane osobowe mogą być przekazywane następującym kategoriom odbiorców, działającym jako podmioty przetwarzające na podstawie zawartych z Administratorem umów powierzenia przetwarzania danych:

a) Supabase Inc. — dostawca chmurowej bazy danych, mechanizmów uwierzytelniania i kopii zapasowych (serwery zlokalizowane w UE; transfer poza EOG do dostawcy zabezpieczony umową powierzenia danych (DPA) oraz Standardowymi Klauzulami Umownymi zatwierdzonymi przez Komisję Europejską);

b) Lovable Labs Sweden AB z siedzibą w Sztokholmie (Szwecja) — platforma inżynieryjna stanowiąca środowisko wdrażania i utrzymania Aplikacji; jako podmiot z siedzibą w Unii Europejskiej nie wymaga odrębnych zabezpieczeń transferu danych poza EOG ze strony Administratora (ewentualne dalsze przekazanie danych przez tego dostawcę jego własnym poddostawcom poza EOG odbywa się na podstawie zabezpieczeń opisanych we własnej polityce prywatności tego dostawcy);

c) PayPro S.A. (Przelewy24) z siedzibą w Poznaniu — obsługa i rozliczanie płatności elektronicznych;

d) Google Ireland Ltd. — obsługa firmowej poczty elektronicznej w domenie @brainpump.pl (Google Workspace);

e) powiadomienia transakcyjne (potwierdzenie zgody rodzica/opiekuna, resetowanie hasła, przypomnienia) wysyłane z domeny notify.brainpump.pl są realizowane w ramach infrastruktury technicznej dostawcy wskazanego w lit. b (Lovable Labs Sweden AB) — Administrator nie korzysta w tym zakresie z odrębnego, samodzielnie kontraktowanego dostawcy poczty transakcyjnej;

f) podmioty świadczące usługi księgowe i fakturowania w zakresie niezbędnym do rozliczeń podatkowych sprzedaży.

2. Dane osobowe mogą zostać udostępnione organom publicznym uprawnionym do ich uzyskania na podstawie przepisów prawa.

3. Administrator nie sprzedaje danych osobowych Użytkowników podmiotom trzecim w celach marketingowych.

1. Supabase Inc. oraz Google (w ramach Google Workspace) są podmiotami powiązanymi z grupami kapitałowymi z siedzibą w USA, co może wiązać się z dostępem do danych spoza Europejskiego Obszaru Gospodarczego. Przekazanie takie odbywa się z zastosowaniem odpowiednich zabezpieczeń przewidzianych w RODO — w szczególności Standardowych Klauzul Umownych zatwierdzonych przez Komisję Europejską oraz umów powierzenia przetwarzania danych (DPA) zawartych z tymi dostawcami.

2. PayPro S.A. oraz biuro księgowe, o których mowa w § 4, przetwarzają dane wyłącznie na terytorium Rzeczypospolitej Polskiej.

1. Dane konta oraz dane o aktywności edukacyjnej przetwarzane są przez czas istnienia Konta w Serwisie.

2. Po usunięciu Konta dane mogą być przechowywane dodatkowo przez okres niezbędny do obsługi ewentualnych roszczeń (nie dłużej niż przez okres ich przedawnienia) oraz w zakresie wymaganym przez przepisy podatkowe i rachunkowe (co do zasady 5 lat licząc od końca roku, w którym powstał obowiązek podatkowy) — dotyczy danych transakcyjnych.

2a. Rekord każdej transakcji (identyfikator płatności, kwota, data, wybrany okres dostępu) wraz z dowodem akceptacji Regulaminu i złożonych przy zamówieniu oświadczeń (data akceptacji i wersja dokumentu) przechowywany jest przez 5 lat licząc od końca roku kalendarzowego, w którym dokonano płatności — również po usunięciu Konta. Po usunięciu Konta rekord ten nie jest już powiązany z Kontem i nie jest wykorzystywany do żadnych innych celów niż rozliczenia, obowiązki podatkowe i rachunkowe oraz obrona przed roszczeniami.

3. Dane przetwarzane na podstawie zgody przechowywane są do czasu jej cofnięcia.

4. Dane rodzica/opiekuna zgromadzone w celu udzielenia zgody na zawarcie Umowy i przetwarzanie danych dziecka przechowywane są przez czas istnienia Konta dziecka w Serwisie i są usuwane wraz z jego usunięciem.

5. Konto, dla którego rodzic/opiekun nie potwierdził zgody w terminie ważności linku aktywacyjnego (§ 8), jest usuwane po upływie 30 dni od wygaśnięcia ostatniego linku aktywacyjnego, o ile Użytkownik nie zażąda w tym czasie ponownego wysłania linku, zgodnie z zasadą minimalizacji danych.

6. Logi techniczne i dane związane z bezpieczeństwem (np. próby logowania) przechowywane są przez okres 12 miesięcy od ich zarejestrowania.

7. Korespondencja z Użytkownikami (w tym zgłoszenia, reklamacje i wiadomości kierowane na adres administrator@brainpump.pl) przechowywana jest przez okres 12 miesięcy od zakończenia sprawy, której dotyczyła, chyba że dłuższy okres przechowywania wynika z konieczności dochodzenia lub obrony przed roszczeniami.

1. Każdej osobie, której dane dotyczą, przysługuje prawo do: dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora, a także cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

2. Powyższe uprawnienia można zrealizować samodzielnie w ustawieniach Konta (w zakresie, w jakim Serwis to umożliwia) lub poprzez kontakt na adres administrator@brainpump.pl.

3. Każdej osobie przysługuje prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

4. Podanie danych jest dobrowolne, jednak niezbędne do zawarcia Umowy i korzystania z Serwisu — odmowa ich podania uniemożliwia świadczenie usług.

1. Serwis jest przeznaczony w szczególności dla uczniów przygotowujących się do egzaminu maturalnego, w tym osób niepełnoletnich. Rejestracja i korzystanie z Serwisu (poza Wersją Demo) przez osoby, które nie ukończyły 13. roku życia, jest niedozwolone — osoby te nie mają zdolności do czynności prawnych (art. 12 Kodeksu cywilnego).

2. Osoba w wieku od 13 do 17 lat może założyć Konto i korzystać z Serwisu wyłącznie za zgodą rodzica lub opiekuna prawnego. Zgoda ta jest wymagana z dwóch odrębnych przyczyn: (a) na gruncie art. 17 i 18 Kodeksu cywilnego — z uwagi na ograniczoną zdolność do czynności prawnych osób poniżej 18. roku życia, co dotyczy ważności samej Umowy; oraz (b) na gruncie art. 8 RODO — w zakresie zgody na przetwarzanie danych osobowych, co dotyczy osób poniżej 16. roku życia. Administrator stosuje jednolity, wyższy próg wiekowy (17 lat) dla całego mechanizmu zgody, jako rozwiązanie prostsze i bardziej ochronne niż różnicowanie progów w zależności od podstawy prawnej.

3. Mechanizm uzyskiwania zgody: (a) przy rejestracji Użytkownik podaje datę urodzenia; jeżeli z podanej daty urodzenia wynika, że Użytkownik ma 13–17 lat, w tym samym kroku rejestracji wymagane jest dodatkowo podanie adresu e-mail rodzica lub opiekuna prawnego; (b) po utworzeniu Konta i potwierdzeniu przez Użytkownika własnego adresu e-mail, na wskazany adres e-mail rodzica/opiekuna wysyłana jest wiadomość e-mail zawierająca informację o założeniu Konta, odnośniki do Regulaminu i niniejszej Polityki Prywatności oraz unikalny, jednorazowy link aktywacyjny ważny przez 7 dni; (c) kliknięcie linku jest równoznaczne ze złożeniem przez rodzica/opiekuna oświadczenia: „Potwierdzam zgodę na korzystanie z serwisu BrainPump przez mojego podopiecznego”; (d) do czasu kliknięcia linku Konto pozostaje wstrzymane — Użytkownik widzi ekran oczekiwania, nie ma dostępu do chronionych funkcjonalności Serwisu i może korzystać wyłącznie z publicznie dostępnej Wersji Demo; (e) Użytkownik może zażądać ponownego wysłania linku aktywacyjnego, jeżeli poprzedni wygasł.

4. Zgoda rodzica/opiekuna na założenie Konta (ust. 3) jest odrębna od zgody na dokonanie konkretnego zakupu Pełnego Dostępu. Przy składaniu zamówienia Użytkownik w wieku 13–17 lat oświadcza (poprzez zaznaczenie odrębnego oświadczenia w formularzu zamówienia), że posiada zgodę rodzica/opiekuna prawnego na dokonanie tego konkretnego zakupu; Użytkownik pełnoletni oświadcza, że zawiera umowę we własnym imieniu.

5. Administrator nie kieruje do dzieci reklam behawioralnych opartych na profilowaniu.

6. Zgodnie z Wytycznymi 05/2020 Europejskiej Rady Ochrony Danych dotyczącymi zgody na gruncie RODO, zakres „rozsądnych starań” wymaganych od administratora na podstawie art. 8 ust. 2 RODO w celu weryfikacji zgody osoby sprawującej władzę rodzicielską zależy od ryzyka związanego z danym przetwarzaniem oraz dostępnej technologii, przy czym w przypadkach niskiego ryzyka weryfikacja za pośrednictwem poczty elektronicznej może być wystarczająca. Z uwagi na charakter danych przetwarzanych w Serwisie (dane dotyczące postępów w nauce, bez profilowania w celach reklamowych i bez reklamy behawioralnej kierowanej do dzieci — zob. ust. 5) Administrator uznaje opisany w ust. 3 mechanizm potwierdzenia zgody za pomocą unikalnego linku aktywacyjnego wysyłanego na adres e-mail rodzica/opiekuna za proporcjonalny do tego ryzyka i zgodny z art. 8 ust. 2 RODO. W razie rozszerzenia w przyszłości zakresu przetwarzanych danych o kategorie wiążące się z wyższym ryzykiem, Administrator zastosuje odpowiednio surowszy mechanizm weryfikacji.

1. W Serwisie stosowane są mechanizmy automatycznego dostosowania poziomu trudności zadań oraz tempa Planu Maturalnego do postępów Użytkownika.

2. Mechanizmy te nie stanowią zautomatyzowanego podejmowania decyzji wywołującego skutki prawne wobec Użytkownika ani nie wpływają na niego w podobnie istotny sposób w rozumieniu art. 22 RODO — służą wyłącznie personalizacji treści edukacyjnych w ramach Serwisu. W przypadku rozbudowy tych mechanizmów w przyszłości w sposób mogący spełniać przesłanki art. 22 RODO, Administrator odpowiednio zaktualizuje niniejszą Politykę oraz wdroży wymagane środki ochrony praw Użytkownika, w tym prawo do uzyskania interwencji ludzkiej i zaskarżenia decyzji.

1. Administrator stosuje odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzanych danych osobowych, w tym: szyfrowanie transmisji danych, mechanizmy kontroli dostępu na poziomie ról (administrator/moderator/przeglądający), zabezpieczenia przed nieautoryzowanym dostępem (w tym ograniczenie liczby prób logowania), oraz regularne przeglądy bezpieczeństwa.

2. Dostęp do danych osobowych mają wyłącznie osoby upoważnione przez Administratora, zobowiązane do zachowania poufności.

1. Serwis wykorzystuje pliki cookies (ciasteczka), czyli niewielkie pliki tekstowe zapisywane na urządzeniu Użytkownika.

2. Serwis wykorzystuje następujące kategorie plików cookies:

a) niezbędne — konieczne do prawidłowego działania Serwisu (np. utrzymanie sesji zalogowanego Użytkownika); nie wymagają zgody Użytkownika;

b) funkcjonalne — zapamiętujące preferencje Użytkownika (np. wybrany motyw, ostatnio przeglądany dział); wymagają zgody;

c) analityczne — służące do zbierania zanonimizowanych/pseudonimizowanych statystyk korzystania z Serwisu w celu poprawy jego jakości; wymagają zgody.

3. Serwis nie wykorzystuje obecnie cookies marketingowych ani remarketingowych (np. pikseli reklamowych) i nie udostępnia danych sieciom reklamowym. Wprowadzenie takich technologii w przyszłości będzie wymagało uprzedniej aktualizacji niniejszej Polityki oraz uzupełnienia banera zgody o nową, odrębną kategorię cookies, zanim jakikolwiek taki plik zostanie zapisany na urządzeniu Użytkownika (zob. § 12 ust. 4).

4. Serwis wyświetla przy pierwszej wizycie baner zgody umożliwiający wybór między opcją „Akceptuję wszystkie” (zgoda na zapisanie danych źródła pierwszego wejścia Użytkownika w celu pomiaru skuteczności własnych działań marketingowych Administratora — zob. ust. 8) a opcją „Tylko niezbędne” (aktywne pozostają wyłącznie pozycje ściśle niezbędne do działania Serwisu, wskazane w ust. 8). Dokonanie dowolnego z tych wyborów nie ogranicza dostępu do Wersji Demo, Pełnego Dostępu ani możliwości korzystania z podstawowych funkcjonalności Serwisu.

5. Serwis wykorzystuje wyłącznie własne (first-party) pliki cookies oraz dane w pamięci lokalnej urządzenia, służące uwierzytelnianiu, bezpieczeństwu, preferencjom interfejsu oraz własnej atrybucji źródła rejestracji — pełna lista znajduje się w ust. 8. Serwis nie wykorzystuje cookies reklamowych, remarketingowych ani technologii podmiotów trzecich (brak Google Analytics, Meta Pixel i podobnych). Zapisywanie danych z kategorii funkcjonalnej oraz analitycznej następuje wyłącznie po wyrażeniu przez Użytkownika uprzedniej, dobrowolnej zgody za pośrednictwem banera, o którym mowa w ust. 4. Wybór opcji „Tylko niezbędne” powoduje ograniczenie zapisu wyłącznie do pozycji ściśle niezbędnych do technicznego działania Serwisu, wskazanych w ust. 8. Użytkownik może w każdej chwili zmienić lub wycofać wyrażoną zgodę za pomocą odnośnika „Ustawienia cookies” dostępnego w Serwisie.

5a. W celu ulepszania Wersji Demo Administrator zlicza anonimowo i wyłącznie zbiorczo (w ujęciu dziennym), ile osób dociera do poszczególnych etapów na stronie demonstracyjnej Serwisu (np. otwarcie zakładek, rozpoczęcie pojedynku, ukończenie przykładowych zadań). Zliczanie nie wiąże się z tworzeniem profilu ani z nadawaniem identyfikatora osobie lub urządzeniu, nie zapisuje żadnych danych na urządzeniu Użytkownika i odbywa się wyłącznie po wyrażeniu zgody w banerze cookies („Akceptuję wszystkie”).

6. Korzystanie z podstawowych funkcji Serwisu nie jest uzależnione od wyrażenia zgody na pozycje wskazane w ust. 8 jako funkcjonalne lub analityczne — ich brak wpływa jedynie na wygodę korzystania z wybranych elementów interfejsu oraz na brak zapisania źródła rejestracji, a nie na dostępność Wersji Demo lub Pełnego Dostępu.

7. Użytkownik może zarządzać plikami cookies oraz danymi w pamięci lokalnej za pomocą ustawień swojej przeglądarki internetowej, w tym zablokować lub usunąć zapisane dane — instrukcje dostępne są na stronach producentów przeglądarek.

8. Szczegółowa lista plików cookies oraz danych przechowywanych w pamięci lokalnej urządzenia Użytkownika, wraz z celem i okresem ważności:

1. Administrator zastrzega sobie prawo do zmiany niniejszej Polityki Prywatności, w szczególności w związku ze zmianą przepisów prawa, rozwojem funkcjonalności Serwisu lub zmianą dostawców, o których mowa w § 4.

2. O istotnych zmianach Administrator poinformuje Użytkowników poprzez wiadomość e-mail lub komunikat w Serwisie.

3. Data ostatniej aktualizacji: 2 października 2026 r.

W sprawach dotyczących ochrony danych osobowych oraz plików cookies można kontaktować się z Administratorem pod adresem e-mail: administrator@brainpump.pl lub telefonicznie pod numerem +48 786 498 405.