Polityka prywatności

Ostatnia aktualizacja: 17.10.2026 · Data wejścia w życie: 17.10.2026

Niniejsza Polityka prywatności opisuje, w jaki sposób w serwisie Drivioo - na który składają się aplikacja mobilna (iOS/Android), panel internetowy oraz strona internetowa dostępne w domenie https://www.drivioo.pl (dalej łącznie „Serwis") - przetwarzamy dane osobowe. Przetwarzanie odbywa się zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej „RODO"), ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych, ustawą z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną oraz ustawą z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej.

1. Administrator danych i kontakt

Administratorem danych osobowych przetwarzanych w związku z prowadzeniem Serwisu (w zakresie opisanym w pkt 1.1) jest Bartłomiej Dadej (osoba fizyczna prowadząca działalność nierejestrowaną w rozumieniu art. 5 ust. 1 ustawy - Prawo przedsiębiorców, korzystająca ze zwolnienia z VAT (art. 113 ust. 1 ustawy o VAT)), adres: ul. Marcina Stępnia 69, 21-150 Kock - osoba prowadząca serwis Drivioo (dalej „my", „Administrator").

Punktem kontaktowym we wszystkich sprawach dotyczących danych osobowych jest adres e-mail: kontakt@drivioo.pl, tel. +48 699 199 101, adres do korespondencji: ul. Marcina Stępnia 69, 21-150 Kock.

Nie wyznaczyliśmy Inspektora Ochrony Danych (IOD), gdyż nie jest to wymagane. We wszystkich sprawach dotyczących danych prosimy o kontakt pod powyższym adresem e-mail.

1.1. Podwójna rola: administrator i podmiot przetwarzający

Drivioo jest administratorem danych przetwarzanych we własnych celach:

• konta użytkownika (kursanta, instruktora, pracownika i właściciela szkoły) - dane logowania, profil, zgody;
• rozliczeń subskrypcji ze szkołą jazdy;
• publicznego katalogu szkół, zgłoszeń na kurs i pytań składanych przez katalog (do chwili przekazania ich wybranej szkole) oraz publicznych opinii;
• obsługi zgłoszeń naruszeń, blokad użytkowników i moderacji treści;
• bezpieczeństwa Serwisu - dziennika zdarzeń z adresami IP, monitorowania błędów, tokenów powiadomień push;
• formularza kontaktowego, marketingu (za zgodą) i statystyk strony internetowej;
• obsługi żądań z zakresu ochrony danych i reklamacji.

Drivioo jest podmiotem przetwarzającym, a administratorem danych jest szkoła jazdy (OSK), w zakresie danych, które szkoła prowadzi w Serwisie w celu realizacji szkolenia i zarządzania szkołą: dane szkoleniowe kursantów (kurs, jazdy, etapy, egzaminy, numer PKK), dokumenty kursantów i kadry, ewidencja płatności kursantów za kurs, dane instruktorów i pracowników, pojazdy, osoby zainteresowane kursem wprowadzone przez szkołę oraz wiadomości czatu wymieniane w ramach szkoły (kursant ↔ instruktor / szkoła). Zasady tego powierzenia określa Umowa powierzenia przetwarzania danych (DPA). Żądania dotyczące tych danych realizuje właściwa szkoła jazdy - jeśli skierujesz je do nas, niezwłocznie przekażemy je tej szkole.

2. Zakres i kategorie przetwarzanych danych

W zależności od roli użytkownika i sposobu korzystania z Serwisu przetwarzamy następujące kategorie danych.

Źródło danych: dane podajesz sam(a). Jeżeli Twoje konto założyła szkoła jazdy (konto kursanta, instruktora lub pracownika), podstawowe dane konta (imię, nazwisko, e-mail, telefon) otrzymaliśmy od tej szkoły - informację o tym przekazujemy przy pierwszym logowaniu (art. 14 RODO).

2.1. Dane konta i profilu

• imię i nazwisko, adres e-mail, numer telefonu;
• hasło - przechowywane wyłącznie w postaci nieodwracalnego skrótu (hash), nigdy jawnie;
• rola w Serwisie (kursant, instruktor, pracownik lub administrator szkoły), przypisanie do szkoły;
• zdjęcie profilowe (avatar) - o ile zostanie dodane przez użytkownika;
• data urodzenia - o ile zostanie podana (m.in. do weryfikacji uprawnień do danej kategorii);
• status weryfikacji adresu e-mail;
• udokumentowane zgody i akceptacje dokumentów (rodzaj, wersja dokumentu, data, adres IP) - jako dowód ich wyrażenia.

2.2. Dane szkoleniowe kursanta

(dla tych danych administratorem jest szkoła jazdy - zob. pkt 1.1)

• numer PKK (Profil Kandydata na Kierowcę) - przechowywany w postaci zaszyfrowanej, kategoria prawa jazdy;
• postępy szkolenia: zrealizowane godziny jazd i teorii, frekwencja, zaliczone etapy kursu;
• zapisy na jazdy, propozycje terminów, oceny manewrów, wyniki egzaminów wewnętrznych i próbnych;
• ewidencja płatności za kurs (kwoty, raty, metoda - płatności odbywają się poza Serwisem);
• dokumenty wymagane w procesie szkolenia, przesyłane jako pliki lub zdjęcia (np. potwierdzenie PKK, zdjęcie, zaświadczenia);
• badanie lekarskie kursanta - wyłącznie data badania i data ważności orzeczenia. Kursant nie przesyła skanu orzeczenia lekarskiego - szkoła ogląda je na miejscu. Serwis nie zapisuje wyniku badania ani przeciwwskazań. Prosimy nie przesyłać orzeczeń ani innych dokumentów o stanie zdrowia jako pliku dokumentu, pliku etapu kursu ani załącznika czatu;
• notatki i wiadomości kursanta do szkoły w ramach obsługi zgłoszeń dokumentów.

2.3. Dane szkoły jazdy (klienta B2B)

• nazwa szkoły, adres, NIP, dane kontaktowe, dane osoby zakładającej konto szkoły;
• dane rozliczeniowe subskrypcji (do wystawienia rachunku), historia płatności i subskrypcji;
• dane publicznego profilu szkoły w katalogu (opis, zdjęcia, cennik, oferta).

2.4. Wiadomości i załączniki (czat)

• treść wiadomości tekstowych wymienianych w ramach szkoły (kursant ↔ instruktor / szkoła);
• zdjęcia i pliki dołączane do rozmowy (wykonane aparatem lub wybrane z galerii);
• zgłoszenia rozmów i treści do moderacji oraz blokady użytkowników.

Funkcja czatu nie obejmuje nagrywania dźwięku ani wiadomości głosowych - aplikacja nie korzysta z mikrofonu i nie przetwarza nagrań audio. Powiadomienie push o nowej wiadomości może zawierać krótki podgląd jej treści (zob. pkt 2.6).

2.5. Dane płatności i rozliczeń

• subskrypcje szkół i dokup miejsc obsługuje operator płatności Stripe. Do Stripe przekazywane są dane rozliczeniowe: nazwa/imię i nazwisko płatnika, adres, e-mail, a dla szkół - NIP. Płatności kursantów za kurs nie przechodzą przez Stripe ani przez Drivioo - są rozliczane bezpośrednio ze szkołą, a Serwis służy jedynie do ich ewidencji. Dane karty płatniczej są wprowadzane i przetwarzane bezpośrednio przez Stripe - nie trafiają na nasze serwery;
• historia i status płatności, identyfikatory transakcji i subskrypcji.

2.6. Powiadomienia push

• token powiadomień push urządzenia (Expo Push Token) oraz platforma urządzenia (iOS/Android);
• treść powiadomienia (np. przypomnienie o jeździe, podgląd wiadomości z czatu) - przekazywana do Expo, a dalej do Google Firebase Cloud Messaging (Android) lub Apple Push Notification service (iOS), które doręczają powiadomienie na urządzenie.

2.7. Dane techniczne, dziennik zdarzeń i monitorowanie błędów

• adres IP - przetwarzany m.in. w celach bezpieczeństwa i ograniczania nadużyć (limit liczby żądań liczony w pamięci serwera, bez zapisu w bazie);
• dziennik zdarzeń (audyt) istotnych operacji w Serwisie, np. logowań, zmian danych i podglądu dokumentów, zawierający identyfikator użytkownika i adres IP;
• raporty błędów serwera wysyłane do usługi Sentry (region UE): identyfikator użytkownika i dane techniczne żądania - bez haseł, ciasteczek, nagłówków uwierzytelniających i treści formularzy;
• dane techniczne urządzenia i adres IP przy pobieraniu aktualizacji aplikacji mobilnej (Expo).

Serwis nie zbiera danych o lokalizacji - aplikacja nie korzysta z uprawnień do lokalizacji (GPS).

2.8. Katalog szkół, zgłoszenia na kurs i opinie

• zgłoszenie na kurs i pytania do szkoły składane przez katalog: imię, nazwisko, e-mail, telefon, wybrana kategoria i szkoła, treść pytania, ewentualny kod rabatowy;
• opinie o szkołach i instruktorach: ocena, treść, imię i zdjęcie profilowe autora (chyba że wybrał publikację anonimową).

2.9. Formularz kontaktowy i korespondencja

• imię i nazwisko, nazwa szkoły, e-mail, telefon, treść zapytania z formularza „Wdrożenie" na stronie oraz korespondencja e-mail kierowana na adres kontakt@drivioo.pl. Dane z formularza są przesyłane e-mailem i nie są zapisywane w bazie Serwisu.
• rezerwacja prezentacji online (strona „Spotkanie"): wybrany termin, imię i nazwisko, nazwa szkoły, e-mail, telefon i opcjonalna wiadomość. Te dane zapisujemy w bazie Serwisu (żeby termin nie został zarezerwowany dwa razy i żeby można było odwołać spotkanie z linku w e-mailu) oraz wysyłamy e-mailem na adres kontakt@drivioo.pl. Samo spotkanie odbywa się w Google Meet (Google).
• newsletter (formularz na blogu): adres e-mail, źródło zapisu (strona, z której się zapisano), data i adres IP potwierdzenia oraz treść wyrażonej zgody. Zapis wymaga potwierdzenia linkiem wysłanym e-mailem; adres trafia na listę odbiorców w Resend dopiero po potwierdzeniu, a dowód zgody zapisujemy w dzienniku zdarzeń Serwisu.

3. Cele i podstawy prawne przetwarzania

Zgodę marketingową możesz w każdej chwili wycofać (i ponownie wyrazić) samodzielnie - w aplikacji (Profil lub Ustawienia → „Zgoda marketingowa") albo w panelu internetowym (Moje konto) - lub pisząc na adres kontakt@drivioo.pl. Z newslettera wypiszesz się linkiem „Wypisz się" w każdej wiadomości albo pisząc na ten sam adres. Inne informacje handlowe obecnie nie są wysyłane.

4. Odbiorcy danych i podmioty przetwarzające

Aby świadczyć usługę, powierzamy przetwarzanie danych dostawcom działającym na nasze udokumentowane polecenie, na podstawie umów powierzenia. Poniższa lista obejmuje dostawców faktycznie wykorzystywanych przez Serwis:

Odbiorcami danych są także:

• wybrana szkoła jazdy - gdy składasz zgłoszenie na kurs lub zadajesz pytanie przez katalog, przekazujemy Twoje dane tej szkole, która od tej chwili przetwarza je jako odrębny administrator; w ramach jednej szkoły dane szkoleniowe kursanta są dostępne dla tej szkoły (administratorów i recepcji) oraz przypisanych instruktorów;
• Google (Google Play) i Apple (App Store) - jako samodzielni administratorzy danych związanych z pobraniem aplikacji ze sklepu, na zasadach ich własnych polityk prywatności;
• dostawca skrzynki pocztowej, na którą przekierowywana jest korespondencja z adresu kontakt@drivioo.pl, biuro rachunkowe (rozliczenia), doradcy prawni, a także organy i podmioty uprawnione na podstawie przepisów prawa.

Opinie o szkołach wystawione przez kursantów są publiczne: na profilu szkoły publikujemy ocenę, treść opinii oraz imię i zdjęcie profilowe autora - chyba że autor wybierze publikację anonimową. Opinię może wystawić tylko kursant, który ukończył w danej szkole co najmniej jedną jazdę (weryfikacja na podstawie ewidencji jazd w Serwisie).

5. Przekazywanie danych poza EOG

Część dostawców ma siedzibę lub przetwarza dane w Stanach Zjednoczonych. Przekazanie danych poza Europejski Obszar Gospodarczy następuje wyłącznie na podstawie zabezpieczeń przewidzianych w RODO: decyzji Komisji Europejskiej z 10 lipca 2023 r. stwierdzającej odpowiedni stopień ochrony w ramach EU-US Data Privacy Framework (art. 45 RODO) - wobec dostawców posiadających certyfikację - lub standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO).

Możesz uzyskać kopię zabezpieczeń, kontaktując się z nami pod adresem podanym w pkt 1.

6. Okres przechowywania

• dane konta - przez czas korzystania z Serwisu i do czasu usunięcia konta; po usunięciu konta dane są usuwane lub anonimizowane w zakresie opisanym na stronie Usunięcie konta;
• niedokończona rejestracja i kody weryfikacyjne - do 24 godzin po wygaśnięciu kodu (usuwane automatycznie); tokeny sesji - do 7 dni po wygaśnięciu;
• dane szkoleniowe, dokumenty i wiadomości czatu w ramach szkoły - zgodnie z decyzją szkoły jazdy (administratora) i przez czas trwania umowy ze szkołą, a po jej zakończeniu - zgodnie z DPA (§2);
• dane rozliczeniowe i dokumenty księgowe - przez okres wymagany przepisami podatkowo-rachunkowymi (co do zasady 5 lat, licząc od końca roku podatkowego);
• dane przetwarzane na podstawie zgody - do czasu jej wycofania; dowód wyrażenia lub wycofania zgody - do upływu okresu przedawnienia roszczeń;
• newsletter - adres na liście odbiorców do wypisania się; niepotwierdzony zapis nie trafia na listę ani do bazy Serwisu (pozostaje jedynie w historii wysłanych e-maili w Resend; link potwierdzający wygasa po 7 dniach);
• tokeny powiadomień push - do wylogowania z urządzenia lub usunięcia konta;
• dziennik zdarzeń z adresami IP oraz zgłoszenia moderacji - docelowo 12 miesięcy; mechanizm automatycznego usuwania wdrażamy - do tego czasu dane te są przechowywane wyłącznie w celach bezpieczeństwa i rozliczalności;
• powiadomienia wyświetlane w aplikacji - docelowo 90 dni (automatyczne usuwanie wdrażamy);
• raporty błędów w Sentry - zgodnie z okresem retencji ustawionym w usłudze, nie dłużej niż 90 dni;
• korespondencja i zapytania z formularza kontaktowego - przez czas obsługi zapytania i ewentualnej współpracy, nie dłużej niż 2 lata od ostatniego kontaktu;
• rezerwacje prezentacji online w bazie Serwisu - usuwane automatycznie 6 miesięcy po terminie spotkania (odwołanie usuwa je od razu); korespondencja e-mail w tej sprawie - jak wyżej;
• dane Google Analytics 4 - zgodnie z ustawieniem retencji w GA4 (2 miesiące) lub do wycofania zgody;
• dane niezbędne do ustalenia, dochodzenia lub obrony roszczeń - do upływu okresów przedawnienia.

7. Twoje prawa

W zakresie, w jakim jesteśmy administratorem Twoich danych, przysługuje Ci prawo do:

• dostępu do danych oraz otrzymania ich kopii;
• sprostowania (poprawienia) danych;
• usunięcia danych („prawo do bycia zapomnianym");
• ograniczenia przetwarzania;
• przenoszenia danych;
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie;
• cofnięcia zgody w dowolnym momencie - bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia.

Aby zrealizować powyższe prawa, skontaktuj się z nami pod adresem kontakt@drivioo.pl. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca. Konto (wraz z danymi) możesz również usunąć zgodnie z instrukcją na stronie Usunięcie konta.

Przysługuje Ci również prawo wniesienia skargi do organu nadzorczego - Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

8. Dobrowolność podania danych

Podanie danych jest dobrowolne, lecz niezbędne do korzystania z Serwisu i realizacji szkolenia. Brak podania danych wymaganych (np. adresu e-mail przy zakładaniu konta) uniemożliwi założenie konta lub korzystanie z wybranych funkcji. Zgody nieobowiązkowe (np. marketingowa, na cookies analityczne) są całkowicie dobrowolne.

9. Zautomatyzowane decyzje i profilowanie

Nie podejmujemy wobec użytkowników decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu (w tym profilowaniu), które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływały (art. 22 RODO). Kolejność szkół w katalogu wynika z kryteriów opisanych w Regulaminie (§2b) i nie jest oparta na profilowaniu użytkownika.

10. Dane osób małoletnich

Kursantami mogą być osoby małoletnie (m.in. kat. AM od 14 lat, A1 od 16 lat; kat. B - co do zasady od 18 lat, z rozpoczęciem szkolenia wcześniej). Podstawą przetwarzania ich danych w zakresie szkolenia jest umowa o szkolenie oraz obowiązki prawne ośrodka szkolenia kierowców (art. 6 ust. 1 lit. b i c RODO), a administratorem tych danych jest szkoła jazdy. Umowę o szkolenie osoby małoletniej oraz wymagane zgody opiekuna prawnego zawiera i zbiera szkoła jazdy. Samodzielnie konto może założyć osoba, która ukończyła 16 lat (Regulamin §4c). Kierujemy się zasadą minimalizacji danych. Zgody nieobowiązkowe (np. marketingowe) nie są kierowane do osób poniżej 16 lat bez zgody opiekuna prawnego (art. 8 RODO) - jeżeli osoba poniżej 16 lat zaznaczy taką zgodę, nie korzystamy z niej.

11. Bezpieczeństwo danych

Stosujemy adekwatne środki techniczne i organizacyjne chroniące dane, w tym:

• szyfrowanie transmisji danych (HTTPS/TLS) między aplikacją, panelem i serwerem;
• przechowywanie haseł wyłącznie w postaci nieodwracalnego skrótu (hash) i szyfrowanie numeru PKK;
• sesję logowania w panelu internetowym opartą o ciasteczka httpOnly (niedostępne dla skryptów w przeglądarce), z flagą Secure na produkcji;
• weryfikację uprawnień oraz izolację danych pomiędzy szkołami (wielodostępność / multi-tenant);
• przechowywanie skanów dokumentów kursantów (z wyjątkiem orzeczeń lekarskich, których nie zbieramy) i instruktorów jako plików prywatnych - otwieranych tylko przez uprawnione osoby za pomocą linku ważnego 10 minut, z rejestrowaniem każdego podglądu w dzienniku zdarzeń. Załączniki czatu wysyłane od 8.10.2026 są również plikami prywatnymi, otwieranymi wyłącznie przez uczestników rozmowy za pomocą krótkotrwałego linku. Zdjęcia profilowe, zdjęcia szkół i wcześniejsze załączniki czatu są dostępne pod trudnym do odgadnięcia adresem pliku;
• weryfikację typu i zawartości przesyłanych plików oraz ograniczenie ich rozmiaru;
• ograniczanie liczby żądań (rate limiting) w celu przeciwdziałania nadużyciom.

12. Pliki cookies i analityka

Panel internetowy i aplikacja wykorzystują ciasteczka oraz pamięć lokalną niezbędne do działania Serwisu - przede wszystkim do utrzymania sesji zalogowanego użytkownika (ciasteczka httpOnly „Drivioo_at" oraz „Drivioo_rt") i zapamiętania preferencji, np. wybranego języka strony (ciasteczko „drivioo_lang") lub decyzji w banerze cookies. Ciasteczka niezbędne i funkcjonalne nie wymagają zgody; możesz je usunąć lub zablokować w ustawieniach przeglądarki, co może jednak uniemożliwić korzystanie z Serwisu.

Strona internetowa Serwisu - wyłącznie po wyrażeniu przez Ciebie zgody w banerze cookies - korzysta z narzędzia Google Analytics 4 (dostawca: Google Ireland Ltd.) do statystyk odwiedzin i mierzenia skuteczności strony (np. wysłania formularza kontaktowego). GA4 używa identyfikatorów zapisanych w plikach cookies, więc nie są to dane anonimowe. Skrypt analityczny ładuje się dopiero po kliknięciu „Akceptuję"; przed wyrażeniem zgody żadne cookies analityczne nie są zapisywane. Zgodę możesz w każdej chwili wycofać - równie łatwo, jak jej udzieliłeś/aś - klikając „Ustawienia cookies" w stopce strony; wycofanie wyłącza Google Analytics i usuwa jego pliki cookies.

Film na stronie głównej pochodzi z serwisu YouTube (dostawca: Google Ireland Ltd.). Odtwarzacz ładuje się dopiero po kliknięciu przycisku odtwarzania, w trybie rozszerzonej prywatności (youtube-nocookie.com). Od tego momentu Twoja przeglądarka łączy się z serwerami Google, które samodzielnie odpowiadają za dane przetwarzane przy odtwarzaniu filmu.

13. Aplikacja mobilna - uprawnienia urządzenia

Aplikacja mobilna Drivioo prosi o dostęp do wybranych funkcji urządzenia wyłącznie w zakresie niezbędnym do jej działania. Poniższe informacje odpowiadają deklaracjom prywatności w Google Play i App Store.

• Aparat - w celu zrobienia i wysłania zdjęcia w czacie, zdjęcia dokumentu lub ustawienia zdjęcia profilowego; użycie następuje każdorazowo z Twojej inicjatywy;
• Zdjęcia / galeria - w celu wybrania istniejącego zdjęcia lub pliku do wysłania w czacie, jako dokument lub jako avatar;
• Powiadomienia - w celu dostarczania powiadomień push dotyczących usługi.

Aplikacja nie korzysta z mikrofonu (brak nagrywania dźwięku i wiadomości głosowych) oraz nie korzysta z lokalizacji (GPS). Uprawnień do aparatu i galerii możesz w każdej chwili udzielić lub odmówić w ustawieniach systemu urządzenia.

14. Zmiany Polityki prywatności

Możemy aktualizować niniejszą Politykę, np. w związku ze zmianą przepisów, dostawców lub funkcji Serwisu. O istotnych zmianach poinformujemy w Serwisie lub drogą e-mail. Aktualna wersja jest zawsze dostępna pod tym adresem, z widoczną datą ostatniej aktualizacji.