Polityka prywatności

Ostatnia aktualizacja: 10.06.2026 · Data wejścia w życie: 10.06.2026

Niniejsza Polityka prywatności opisuje, w jaki sposób w serwisie Drivioo — na który składają się aplikacja mobilna (iOS/Android) oraz panel internetowy dostępny w domenie https://www.drivioo.pl (dalej łącznie „Serwis") — przetwarzamy dane osobowe. Przetwarzanie odbywa się zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej „RODO"), ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych oraz ustawą z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną.

1. Administrator danych i kontakt

Administratorem danych osobowych przetwarzanych w związku z prowadzeniem Serwisu jest Bartłomiej Dadej — osoba prowadząca serwis Drivioo (dalej „my", „Administrator").

Punktem kontaktowym we wszystkich sprawach dotyczących danych osobowych jest adres e-mail: dadejbartlomiej@gmail.com, tel. +48 699 199 101.

Nie wyznaczyliśmy Inspektora Ochrony Danych (IOD), gdyż nie jest to wymagane. We wszystkich sprawach dotyczących danych prosimy o kontakt pod powyższym adresem e-mail.

1.1. Podwójna rola: administrator i podmiot przetwarzający

Drivioo jest administratorem danych: konta użytkownika (kursanta, instruktora, pracownika szkoły), danych rozliczeniowych subskrypcji szkoły oraz danych technicznych opisanych w tej Polityce.

W odniesieniu do danych szkoleniowych kursantów, które szkoła jazdy wprowadza do Serwisu w celu prowadzenia szkolenia (np. numer PKK, dokumenty, postępy, frekwencja), Drivioo działa jako podmiot przetwarzający, a administratorem tych danych pozostaje szkoła jazdy (OSK). Zasady tego powierzenia określa Umowa powierzenia przetwarzania danych (DPA). W takim przypadku żądania dotyczące danych szkoleniowych realizuje właściwa szkoła jazdy — w razie potrzeby przekażemy Twoje żądanie tej szkole.

2. Zakres i kategorie przetwarzanych danych

W zależności od roli użytkownika i sposobu korzystania z Serwisu przetwarzamy następujące kategorie danych:

2.1. Dane konta i profilu

• imię i nazwisko, adres e-mail, numer telefonu;
• hasło — przechowywane wyłącznie w postaci nieodwracalnego skrótu (hash), nigdy jawnie;
• rola w Serwisie (kursant, instruktor, administrator szkoły), przypisanie do szkoły;
• zdjęcie profilowe (avatar) — o ile zostanie dodane przez użytkownika;
• data urodzenia — o ile zostanie podana (m.in. do weryfikacji uprawnień do danej kategorii);
• status weryfikacji adresu e-mail;
• udokumentowane zgody (rodzaj, wersja dokumentu, data, adres IP) — jako dowód ich wyrażenia.

2.2. Dane szkoleniowe kursanta

(dla tych danych administratorem jest szkoła jazdy — zob. pkt 1.1)

• numer PKK (Profil Kandydata na Kierowcę), kategoria prawa jazdy;
• postępy szkolenia: zrealizowane godziny jazd i teorii, frekwencja, zaliczone etapy kursu;
• zapisy na jazdy, propozycje terminów, oceny manewrów, wyniki egzaminów wewnętrznych i próbnych;
• dokumenty wymagane w procesie szkolenia, przesyłane jako pliki lub zdjęcia (np. orzeczenie lekarskie, zaświadczenia). Dokumenty takie mogą zawierać dane szczególnej kategorii — dane dotyczące zdrowia (art. 9 RODO);
• notatki i wiadomości kursanta do szkoły w ramach obsługi zgłoszeń dokumentów.

2.3. Dane szkoły jazdy (klienta B2B)

• nazwa szkoły, adres, NIP, dane kontaktowe;
• dane rozliczeniowe subskrypcji (do wystawienia faktury VAT).

2.4. Wiadomości i załączniki (czat)

• treść wiadomości tekstowych wymienianych między użytkownikami (kursant ↔ instruktor / szkoła);
• zdjęcia i pliki dołączane do rozmowy (wykonane aparatem lub wybrane z galerii).

Funkcja czatu nie obejmuje nagrywania dźwięku ani wiadomości głosowych — aplikacja nie korzysta z mikrofonu i nie przetwarza nagrań audio.

2.5. Dane płatności i rozliczeń

• subskrypcje szkół oraz płatności kursantów za kurs obsługuje operator płatności Stripe. Do Stripe przekazywane są dane rozliczeniowe: nazwa/imię i nazwisko płatnika, adres, a dla faktur szkół — NIP (jako europejski numer VAT). Dane karty płatniczej są wprowadzane i przetwarzane bezpośrednio przez Stripe — Serwis nie przechowuje pełnych numerów kart;
• historia i status płatności, identyfikatory transakcji i subskrypcji.

2.6. Powiadomienia push

• token powiadomień push urządzenia (Expo Push Token) oraz platforma urządzenia (iOS/Android).

2.7. Dane techniczne i dziennik zdarzeń

• adres IP — przetwarzany m.in. w celach bezpieczeństwa i ograniczania nadużyć (rate limiting);
• dziennik zdarzeń (audyt) istotnych operacji w Serwisie, mogący zawierać identyfikator użytkownika i IP;
• podstawowe dane techniczne żądań (np. typ platformy) niezbędne do działania i diagnostyki Serwisu.

Serwis nie zbiera danych o lokalizacji — aplikacja nie korzysta z uprawnień do lokalizacji (GPS).

3. Cele i podstawy prawne przetwarzania

4. Odbiorcy danych i podmioty przetwarzające

Aby świadczyć usługę, powierzamy przetwarzanie danych zaufanym dostawcom działającym na nasze udokumentowane polecenie (umowy powierzenia). Poniższa lista obejmuje dostawców faktycznie wykorzystywanych przez Serwis:

Ponadto odbiorcami danych mogą być: biuro rachunkowe (rozliczenia), doradcy prawni, a także organy i podmioty uprawnione na podstawie przepisów prawa. W ramach jednej szkoły jazdy dane szkoleniowe kursanta są dostępne dla tej szkoły oraz przypisanych instruktorów.

5. Przekazywanie danych poza EOG

Niektórzy dostawcy (m.in. Stripe oraz Google) mogą przetwarzać dane w państwach spoza Europejskiego Obszaru Gospodarczego, w tym w Stanach Zjednoczonych. Przekazanie następuje na podstawie odpowiednich zabezpieczeń przewidzianych w RODO, tj.:

• decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (Data Privacy Framework — DPF), gdy dany dostawca jest certyfikowany, lub
• standardowych klauzul umownych zatwierdzonych przez Komisję Europejską (art. 46 ust. 2 lit. c RODO).

Możesz uzyskać kopię zabezpieczeń, kontaktując się z nami pod adresem podanym w pkt 1.

6. Okres przechowywania

• dane konta — przez czas korzystania z Serwisu i do czasu usunięcia konta;
• dane szkoleniowe — zgodnie z decyzją szkoły jazdy (administratora) oraz obowiązkami OSK;
• dane rozliczeniowe i dokumenty księgowe — przez okres wymagany przepisami podatkowo-rachunkowymi (co do zasady 5 lat, licząc od końca roku podatkowego);
• dane przetwarzane na podstawie zgody — do czasu jej wycofania;
• dane techniczne, dziennik audytu, tokeny powiadomień — przez okres niezbędny do zapewnienia bezpieczeństwa i działania Serwisu, nie dłużej niż to konieczne;
• dane niezbędne do ustalenia, dochodzenia lub obrony roszczeń — do upływu okresów przedawnienia.

7. Twoje prawa

W zakresie, w jakim jesteśmy administratorem Twoich danych, przysługuje Ci prawo do:

• dostępu do danych oraz otrzymania ich kopii;
• sprostowania (poprawienia) danych;
• usunięcia danych („prawo do bycia zapomnianym");
• ograniczenia przetwarzania;
• przenoszenia danych;
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie;
• cofnięcia zgody w dowolnym momencie — bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia.

Aby zrealizować powyższe prawa, skontaktuj się z nami pod adresem dadejbartlomiej@gmail.com. Konto (wraz z danymi) możesz również usunąć zgodnie z instrukcją na stronie Usunięcie konta.

Przysługuje Ci również prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

8. Dobrowolność podania danych

Podanie danych jest dobrowolne, lecz niezbędne do korzystania z Serwisu i realizacji szkolenia. Brak podania danych wymaganych (np. adresu e-mail przy zakładaniu konta) uniemożliwi założenie konta lub korzystanie z wybranych funkcji. Zgody nieobowiązkowe (np. na cookies analityczne) są całkowicie dobrowolne.

9. Zautomatyzowane decyzje i profilowanie

Nie podejmujemy wobec użytkowników decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu (w tym profilowaniu), które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływały (art. 22 RODO).

10. Dane osób małoletnich

Kursantami mogą być osoby małoletnie (m.in. kat. AM od 14 lat, A1 od 16 lat; kat. B — co do zasady od 18 lat, z rozpoczęciem szkolenia wcześniej). Podstawą przetwarzania ich danych w zakresie szkolenia jest umowa o szkolenie oraz obowiązki prawne ośrodka szkolenia kierowców (art. 6 ust. 1 lit. b i c RODO), a administratorem tych danych jest szkoła jazdy. Umowę o szkolenie osoby małoletniej oraz wymagane zgody opiekuna prawnego zawiera i zbiera szkoła jazdy. Kierujemy się zasadą minimalizacji danych. Zgody nieobowiązkowe (np. marketingowe) nie są kierowane do osób poniżej 16 lat bez zgody opiekuna prawnego (art. 8 RODO).

11. Bezpieczeństwo danych

Stosujemy adekwatne środki techniczne i organizacyjne chroniące dane, w tym:

• szyfrowanie transmisji danych (HTTPS/TLS) między aplikacją, panelem i serwerem;
• przechowywanie haseł wyłącznie w postaci nieodwracalnego skrótu (hash);
• sesję logowania w panelu internetowym opartą o ciasteczka httpOnly (niedostępne dla skryptów w przeglądarce), z flagą Secure na produkcji;
• weryfikację uprawnień oraz izolację danych pomiędzy szkołami (wielodostępność / multi-tenant);
• weryfikację typu i zawartości przesyłanych plików oraz ograniczenie ich rozmiaru;
• ograniczanie liczby żądań (rate limiting) w celu przeciwdziałania nadużyciom.

12. Pliki cookies i analityka

Panel internetowy i aplikacja wykorzystują ciasteczka oraz pamięć lokalną niezbędne do działania Serwisu — przede wszystkim do utrzymania sesji zalogowanego użytkownika (ciasteczka httpOnly „Drivioo_at" oraz „Drivioo_rt") i zapamiętania preferencji, np. wybranego języka strony (ciasteczko „drivioo_lang"). Ciasteczka niezbędne i funkcjonalne nie wymagają zgody; możesz je usunąć lub zablokować w ustawieniach przeglądarki, co może jednak uniemożliwić korzystanie z Serwisu.

Strona marketingowa Serwisu — wyłącznie po wyrażeniu przez Ciebie zgody w banerze cookies — korzysta z narzędzia Google Analytics 4 (dostawca: Google Ireland Ltd.) do statystyk odwiedzin. Skrypt analityczny ładuje się dopiero po kliknięciu „Akceptuję"; przed wyrażeniem zgody żadne cookies analityczne nie są zapisywane. Zgodę możesz w każdej chwili wycofać — równie łatwo, jak jej udzieliłeś/aś — klikając „Ustawienia cookies" w stopce strony; wycofanie wyłącza Google Analytics i usuwa jego pliki cookies. Nie stosujemy cookies o charakterze marketingowym ani reklamowym.

13. Aplikacja mobilna — uprawnienia urządzenia

Aplikacja mobilna Drivioo prosi o dostęp do wybranych funkcji urządzenia wyłącznie w zakresie niezbędnym do jej działania. Poniższe informacje odpowiadają deklaracji „Bezpieczeństwo danych" w Google Play.

• Aparat — w celu zrobienia i wysłania zdjęcia w czacie lub ustawienia zdjęcia profilowego; użycie następuje każdorazowo z Twojej inicjatywy;
• Zdjęcia / galeria — w celu wybrania istniejącego zdjęcia do wysłania w czacie lub jako avatar;
• Powiadomienia — w celu dostarczania powiadomień push dotyczących usługi.

Aplikacja nie korzysta z mikrofonu (brak nagrywania dźwięku i wiadomości głosowych) oraz nie korzysta z lokalizacji (GPS). Uprawnień do aparatu i galerii możesz w każdej chwili udzielić lub odmówić w ustawieniach systemu urządzenia.

14. Zmiany Polityki prywatności

Możemy aktualizować niniejszą Politykę, np. w związku ze zmianą przepisów lub funkcji Serwisu. O istotnych zmianach poinformujemy w Serwisie lub drogą e-mail. Aktualna wersja jest zawsze dostępna pod tym adresem, z widoczną datą ostatniej aktualizacji.