Polityka prywatności aplikacji LIVIZU

§ 1.Wprowadzenie

1. Niniejsza Polityka prywatności (dalej jako „Polityka”) opisuje zasady przetwarzania danych osobowych w związku z korzystaniem z aplikacji LIVIZU – systemu dla żłobków, klubów dziecięcych, przedszkoli i innych placówek opiekuńczo-wychowawczych, umożliwiającego zarządzanie placówką, komunikację między personelem a rodzicami, udostępnianie zdjęć i nagrań z życia placówki oraz obsługę płatności za dostęp.
2. Polityka realizuje obowiązki informacyjne wynikające z art. 13 i art. 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE („RODO”), a także obowiązki wynikające z ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej („PKE”) oraz ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną.
3. Na gruncie niniejszej Polityki LIVIZU występuje w dwóch różnych rolach: w pewnym zakresie jest administratorem danych osobowych, a w zakresie danych wprowadzanych do Aplikacji przez Placówkę – wyłącznie podmiotem przetwarzającym, działającym na polecenie Placówki. Od tego rozróżnienia zależy m.in. to, do kogo należy kierować żądania dotyczące danych.
4. Polityka nie zastępuje informacji o ochronie danych przekazywanych rodzicom, opiekunom i pracownikom bezpośrednio przez Placówkę, do której uczęszcza dziecko.

§ 2.Definicje

Użyte w Polityce pojęcia oznaczają:

Aplikacja

oprogramowanie LIVIZU udostępniane w wersji mobilnej (App Store, Google Play) oraz przeglądarkowej, wraz ze wszystkimi jego funkcjonalnościami;

Album

funkcjonalność Aplikacji umożliwiająca zamieszczanie przez Placówkę zdjęć i nagrań wideo z życia placówki oraz ich udostępnianie zamkniętej grupie odbiorców;

Asystent AI

funkcjonalność Aplikacji wykorzystująca system sztucznej inteligencji, wspierająca redagowanie ogłoszeń, wydarzeń i notatek, w tym na podstawie poleceń głosowych;

Dziecko

małoletni objęty opieką lub kształceniem w Placówce, którego dane są przetwarzane w Aplikacji;

LIVIZU lub my

Smartpro Hub spółka z ograniczoną odpowiedzialnością z siedzibą w Warszawie, przy ul. Żelaznej 51/53, 00-841 Warszawa, KRS: 0001205805, NIP: 5273192745, e-mail: kontakt@livizu.com;

Placówka

żłobek, klub dziecięcy, punkt opieki dziennej, przedszkole, szkoła lub inny podmiot prowadzący działalność opiekuńczą, wychowawczą lub oświatową, który zawarł z LIVIZU umowę o korzystanie z Aplikacji;

Pracownik Placówki

dyrektor, nauczyciel, opiekun lub inna osoba działająca w imieniu i na rzecz Placówki, korzystająca z Aplikacji na podstawie uprawnień nadanych przez Placówkę niezależnie od podstawy prawnej współpracy z Placówką;

Rodzic

rodzic, opiekun prawny lub inna osoba upoważniona przez Placówkę do dostępu do informacji o Dziecku w Aplikacji;

Umowa powierzenia

umowa powierzenia przetwarzania danych osobowych, o której mowa w art. 28 ust. 3 RODO, zawierana pomiędzy LIVIZU a Placówką;

Użytkownik

osoba fizyczna posiadająca konto w Aplikacji, w tym Pracownik Placówki i Rodzic.

§ 3.Nasza rola: administrator czy podmiot przetwarzający

1. W zależności od kontekstu przetwarzania LIVIZU występuje w jednej z dwóch ról:
   1. administratora danych osobowych w rozumieniu art. 4 pkt 7 RODO – w odniesieniu do danych przetwarzanych we własnych celach LIVIZU, to jest danych związanych z: nawiązaniem i obsługą współpracy z Placówką (w tym danych dyrektora i innych osób reprezentujących lub kontaktowych Placówki), założeniem, utrzymaniem i zabezpieczeniem konta Użytkownika, zawarciem i rozliczeniem umowy o subskrypcję, obsługą zgłoszeń, reklamacji i korespondencji, marketingiem własnym LIVIZU, zapewnieniem bezpieczeństwa i rozwojem Aplikacji, a także danych osób odwiedzających stronę livizu.pl;
   2. podmiotu przetwarzającego w rozumieniu art. 4 pkt 8 RODO – w odniesieniu do danych wprowadzanych do Aplikacji przez Placówkę lub na jej polecenie, w szczególności: danych Dzieci (imię i nazwisko, grupa, obecności i nieobecności, informacje o wydarzeniach, zadaniach i posiłkach), danych Rodziców w zakresie przekazanym przez Placówkę, danych Pracowników Placówki, treści komunikacji prowadzonej w ramach Placówki oraz zdjęć i nagrań zamieszczanych w Albumie.
2. Administratorem danych, o których mowa w § 3 ust. 1 lit. b, jest Placówka. To Placówka decyduje, czyje dane, w jakim zakresie i w jakim celu trafiają do Aplikacji. LIVIZU przetwarza te dane wyłącznie na udokumentowane polecenie Placówki, na podstawie zawartej z nią Umowy powierzenia, i nie wykorzystuje ich do własnych celów.
3. Poniższa tabela przedstawia podział ról w sposób poglądowy:

   Podział ról między LIVIZU a Placówką w zależności od kategorii danych

   Kategoria danych	Administrator	Rola LIVIZU
   Dane dyrektora i osób kontaktowych Placówki (imię, nazwisko, e-mail, telefon służbowy)	LIVIZU	administrator
   Dane konta Użytkownika (dane logowania, identyfikator, ustawienia, historia aktywności technicznej)	LIVIZU	administrator
   Dane rozliczeniowe i dokumentacja księgowa Placówki	LIVIZU	administrator
   Dane osób kontaktujących się z LIVIZU i odwiedzających livizu.pl	LIVIZU	administrator
   Dane Dzieci (imię, nazwisko, grupa, obecności, posiłki, notatki)	Placówka	podmiot przetwarzający
   Dane Rodziców wprowadzone przez Placówkę i powiązanie z Dzieckiem	Placówka	podmiot przetwarzający
   Dane Pracowników Placówki wprowadzone przez dyrektora	Placówka	podmiot przetwarzający
   Treść wiadomości, ogłoszeń, wydarzeń i notatek w ramach Placówki	Placówka	podmiot przetwarzający
   Zdjęcia i nagrania w Albumie, w tym wizerunek Dziecka	Placówka	podmiot przetwarzający
   Treści przekazywane Asystentowi AI w ramach pracy Placówki	Placówka	podmiot przetwarzający

4. W sprawach dotyczących danych, o których mowa w § 3 ust. 1 lit. b – w tym w celu realizacji praw opisanych w § 13 – należy zwracać się bezpośrednio do Placówki. LIVIZU, w zakresie technicznie możliwym, wspiera Placówkę w realizacji zgłoszonych żądań (art. 28 ust. 3 lit. e RODO). Żądanie omyłkowo skierowane do LIVIZU zostanie niezwłocznie przekazane właściwej Placówce, o czym poinformujemy osobę zgłaszającą.
5. O roli w przetwarzaniu danych decydują okoliczności faktyczne – rzeczywisty wpływ na cele i sposoby przetwarzania – a nie samo brzmienie dokumentów. Przyjęty w Polityce podział ról odpowiada wytycznym Europejskiej Rady Ochrony Danych 07/2020 dotyczącym pojęć administratora i podmiotu przetwarzającego.

§ 4.Kto jest administratorem i jak się z nami skontaktować

1. Administratorem danych osobowych w zakresie opisanym w § 3 ust. 1 lit. a jest Smartpro Hub spółka z ograniczoną odpowiedzialnością z siedzibą w Warszawie, przy ul. Żelaznej 51/53, 00-841 Warszawa, KRS: 0001205805, NIP: 5273192745.
2. Kontakt we wszystkich sprawach dotyczących ochrony danych osobowych: e-mail kontakt@livizu.com, adres korespondencyjny jak wyżej.
3. Administrator nie wyznaczył inspektora ochrony danych. Wszelkie sprawy dotyczące ochrony danych osobowych prosimy kierować na adres kontakt@livizu.com.

§ 5.Cele, podstawy prawne i okresy przetwarzania – LIVIZU jako administrator

1. W zakresie, w jakim LIVIZU jest administratorem danych, przetwarzamy je w następujących celach:

   Cele, kategorie danych, podstawy prawne i okresy przechowywania

   Cel	Kategorie danych	Podstawa prawna	Okres przechowywania
   Nawiązanie współpracy z Placówką, założenie konta dyrektora, obsługa wdrożenia	Imię i nazwisko dyrektora, e-mail, telefon, dane adresowe Placówki	art. 6 ust. 1 lit. b RODO (czynności przed zawarciem umowy i jej wykonanie) lub art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes polegający na obsłudze relacji z klientem instytucjonalnym, gdy dyrektor działa jako reprezentant osoby prawnej	Czas trwania umowy z Placówką, a następnie do upływu terminów przedawnienia roszczeń (art. 118 Kodeksu cywilnego)
   Założenie i utrzymanie konta Użytkownika, uwierzytelnianie, świadczenie usług Aplikacji	Imię, nazwisko, adres e-mail, dane logowania, identyfikator konta, ustawienia, dane techniczne urządzenia	art. 6 ust. 1 lit. b RODO – niezbędność do wykonania umowy o świadczenie usług drogą elektroniczną zawartej z Użytkownikiem	Czas posiadania konta, a następnie do upływu terminów przedawnienia roszczeń
   Zawarcie i rozliczenie subskrypcji, wystawianie i przechowywanie dokumentów księgowych	Dane Placówki, dane osoby zawierającej umowę, dane rozliczeniowe	art. 6 ust. 1 lit. b RODO oraz art. 6 ust. 1 lit. c RODO w zw. z przepisami podatkowymi i ustawą o rachunkowości	5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku (art. 70 § 1 Ordynacji podatkowej, art. 74 ustawy o rachunkowości)
   Obsługa zgłoszeń, zapytań, reklamacji i korespondencji	Dane kontaktowe, treść zgłoszenia, dane niezbędne do jego rozpatrzenia	art. 6 ust. 1 lit. b RODO lub art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes polegający na obsłudze zapytań i wykazaniu sposobu ich załatwienia	Czas obsługi sprawy, następnie okres przedawnienia roszczeń
   Zapewnienie bezpieczeństwa Aplikacji, prowadzenie logów systemowych, zapobieganie nadużyciom	Adres IP, identyfikatory urządzenia i sesji, zapisy zdarzeń systemowych	art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes polegający na zapewnieniu bezpieczeństwa sieci i informacji (motyw 49 RODO)	90 dni od zarejestrowania zdarzenia, chyba że zapis dokumentuje incydent bezpieczeństwa lub naruszenie – wówczas do zakończenia postępowania wyjaśniającego
   Analityka, statystyka i rozwój Aplikacji	Dane o sposobie korzystania z Aplikacji, w miarę możliwości zagregowane lub pozbawione identyfikatorów	art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes polegający na doskonaleniu i rozwoju usługi	Do zgłoszenia skutecznego sprzeciwu lub do zanonimizowania danych, nie dłużej niż 24 miesiące
   Marketing własny LIVIZU (newsletter, informacje o nowych funkcjach)	Imię, nazwisko, adres e-mail, numer telefonu	art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes polegający na marketingu własnych usług, przy czym wysyłka komunikatów elektronicznych następuje wyłącznie za zgodą wyrażoną zgodnie z art. 398 PKE	Do wniesienia sprzeciwu lub cofnięcia zgody
   Ustalenie, dochodzenie i obrona roszczeń	Dane niezbędne do wykazania okoliczności sprawy	art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes polegający na ochronie praw LIVIZU	Okresy przedawnienia roszczeń wynikające z przepisów prawa
   Wykonanie obowiązków wynikających z przepisów o usługach cyfrowych (rozpatrywanie zgłoszeń nielegalnych treści)	Dane zgłaszającego, treść zgłoszenia, dane objęte zgłoszeniem	art. 6 ust. 1 lit. c RODO w zw. z art. 16 rozporządzenia (UE) 2022/2065 (akt o usługach cyfrowych)	3 lata od rozpatrzenia zgłoszenia

2. Jeżeli przetwarzamy dane na podstawie prawnie uzasadnionego interesu, przed rozpoczęciem przetwarzania przeprowadzamy test równowagi, oceniając, czy interes ten nie jest nadrzędny wobec praw i wolności osób, których dane dotyczą. Na żądanie udostępniamy informację o wyniku tego testu.
3. Jeżeli przetwarzamy dane na podstawie zgody, można ją cofnąć w każdej chwili, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

§ 6.Skąd mamy dane – informacja dla osób, których dane pozyskaliśmy nie od nich

1. Sposób pozyskania danych w Aplikacji wynika z modelu jej wdrażania:
   1. dane dyrektora Placówki pozyskujemy bezpośrednio od niego (przy zgłoszeniu chęci korzystania z Aplikacji) albo od Placówki, która go wskazuje jako osobę kontaktową;
   2. dane Pracowników Placówki (imię, nazwisko, adres e-mail) wprowadza do Aplikacji dyrektor Placówki;
   3. dane Rodziców (imię, nazwisko, adres e-mail) oraz dane Dzieci wprowadza do Aplikacji Pracownik Placówki.
2. W przypadkach opisanych w § 6 ust. 1 lit. b i c dane osobowe pozyskujemy nie od osoby, której dotyczą, lecz od Placówki. Realizując obowiązek z art. 14 RODO, informujemy, że:
   1. źródłem danych jest Placówka, która wskazała daną osobę jako uprawnioną do dostępu do Aplikacji;
   2. kategorie pozyskanych danych obejmują: imię, nazwisko, adres e-mail, a w przypadku Rodzica także informację o powiązaniu z Dzieckiem i grupą;
   3. administratorem tych danych – w zakresie ich przetwarzania w ramach Placówki – jest Placówka. LIVIZU staje się administratorem wyłącznie w zakresie danych konta Użytkownika po jego aktywacji, zgodnie z § 3 ust. 1 lit. a;
   4. informację tę przekazujemy w wiadomości zawierającej link zapraszający oraz na ekranie aktywacji konta, nie później niż przy pierwszej komunikacji z daną osobą (art. 14 ust. 3 lit. b RODO).
3. Wiadomość zawierająca link zapraszający ma minimalną treść i nie zawiera danych Dziecka. Link zapraszający ma ograniczony okres ważności.
4. Dane osób, które nie aktywowały konta, usuwamy po upływie 30 dni od wysłania zaproszenia, chyba że Placówka wcześniej poleci ich usunięcie.

§ 7.Dane przetwarzane w imieniu Placówki

1. Dane wskazane w § 3 ust. 1 lit. b przetwarzamy wyłącznie w celu świadczenia Placówce usług Aplikacji, zgodnie z Umową powierzenia, i nie wykorzystujemy ich do własnych celów. O zakresie danych wprowadzanych do Aplikacji, celach ich przetwarzania oraz okresie przechowywania decyduje Placówka.
2. Placówka, jako administrator, jest zobowiązana do spełnienia wobec Rodziców, Dzieci i swoich pracowników obowiązków informacyjnych oraz do zapewnienia podstaw prawnych przetwarzania, w tym – gdy jest to wymagane – odebrania stosownych zgód.
3. Dane dotyczące zdrowia Dziecka (w szczególności informacje o alergiach, dietach eliminacyjnych, przyjmowanych lekach lub orzeczeniach) stanowią dane szczególnej kategorii w rozumieniu art. 9 RODO. Powinny być wprowadzane do Aplikacji wyłącznie w zakresie niezbędnym dla bezpieczeństwa Dziecka i wyłącznie w polach do tego przeznaczonych, o ograniczonym kręgu dostępu. Odradzamy przekazywanie takich informacji w treści ogłoszeń, opisów Albumu oraz poleceń kierowanych do Asystenta AI.
4. Dostęp do danych powierzonych mają wyłącznie: upoważnieni Pracownicy Placówki – w zakresie wynikającym z roli nadanej im w Aplikacji, Rodzice – w zakresie dotyczącym własnego Dziecka, oraz upoważnieni pracownicy i podwykonawcy LIVIZU – w zakresie niezbędnym do świadczenia i utrzymania usługi.
5. Po zakończeniu umowy z Placówką – stosownie do jej wyboru – zwracamy Placówce lub trwale usuwamy powierzone dane osobowe, w tym usuwamy istniejące kopie, chyba że prawo Unii lub prawo polskie nakazuje ich dalsze przechowywanie (art. 28 ust. 3 lit. g RODO). Szczegółowe zasady, w tym terminy, określa Umowa powierzenia.

§ 8.Album – zdjęcia i nagrania

1. Funkcja Albumu umożliwia Placówce zamieszczanie zdjęć i nagrań wideo z zajęć, uroczystości i wycieczek oraz ich udostępnianie zalogowanym Rodzicom. Materiały z Albumu nie są publicznie dostępne w internecie ani indeksowane przez wyszukiwarki.
2. Administratorem danych osobowych utrwalonych na zdjęciach i nagraniach, w tym wizerunku Dziecka, jest Placówka. Placówka odpowiada za zapewnienie podstawy prawnej utrwalania i udostępniania wizerunku, w tym za odebranie wymaganych zgód, a także za realizację obowiązków informacyjnych wobec Rodziców i Dzieci.
3. Rozpowszechnianie wizerunku wymaga – obok podstawy z RODO – zezwolenia, o którym mowa w art. 81 ust. 1 ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych. Zezwolenie nie jest wymagane, gdy wizerunek stanowi jedynie szczegół całości takiej jak zgromadzenie, krajobraz lub publiczna impreza (art. 81 ust. 2 pkt 2).
4. Zgoda na rozpowszechnianie wizerunku Dziecka w internecie należy do istotnych spraw dziecka w rozumieniu art. 97 § 2 Kodeksu rodzinnego i opiekuńczego. Oznacza to, że wymagana jest zgodna decyzja obojga rodziców posiadających władzę rodzicielską, a w braku porozumienia rozstrzyga sąd opiekuńczy. Rekomendujemy Placówkom odbieranie zgód od obojga rodziców oraz wstrzymanie publikacji w razie sprzeciwu któregokolwiek z nich.
5. Zgoda powinna być odrębna dla utrwalania wizerunku, odrębna dla udostępniania go w Albumie wyłącznie Rodzicom i odrębna dla ewentualnej publikacji zewnętrznej. Zgoda musi być dobrowolna, a korzystanie z opieki lub kształcenia w Placówce nie może być uzależnione od jej wyrażenia (motyw 43 RODO). Zgodę można wycofać w każdej chwili (art. 7 ust. 3 RODO).
6. Jako podmiot przetwarzający zapewniamy rozwiązania techniczne ograniczające dostęp do materiałów do zamkniętego kręgu odbiorców oraz – na polecenie Placówki – niezwłocznie usuwamy wskazane materiały, w tym w razie cofnięcia zgody przez rodzica lub opiekuna.
7. Pobranie materiału z Albumu na urządzenie Użytkownika oraz jego dalsze rozpowszechnianie następuje na wyłączną odpowiedzialność Użytkownika. Rozpowszechnianie wizerunku innych osób, w tym Dzieci, bez wymaganego zezwolenia może naruszać art. 81 ustawy o prawie autorskim i prawach pokrewnych, art. 23 i 24 Kodeksu cywilnego oraz przepisy RODO.

§ 9.Asystent AI

1. Aplikacja udostępnia Asystenta AI wspierającego redagowanie ogłoszeń, wydarzeń i notatek, w tym na podstawie poleceń głosowych. Korzystanie z Asystenta AI jest dobrowolne.
2. Użytkownik jest informowany, że wchodzi w interakcję z systemem sztucznej inteligencji. Informacja ta jest prezentowana przy pierwszym uruchomieniu funkcji oraz w interfejsie Asystenta AI, zgodnie z art. 50 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (akt w sprawie sztucznej inteligencji).
3. Treści wygenerowane przez Asystenta AI mają charakter pomocniczy i przed opublikowaniem podlegają weryfikacji i zatwierdzeniu przez Użytkownika, który ponosi za nie odpowiedzialność redakcyjną.
4. Treści wprowadzone do Asystenta AI są przekazywane dostawcy technologii sztucznej inteligencji – Microsoft Ireland Operations Limited, w ramach usługi Microsoft Azure AI Foundry – działającemu jako dalszy podmiot przetwarzający na podstawie umowy spełniającej wymogi art. 28 ust. 2 i 4 RODO. Dostawcy przekazywany jest wyłącznie tekst.
5. Dane przekazywane do Asystenta AI nie są wykorzystywane do trenowania, dostrajania ani ulepszania modeli sztucznej inteligencji. Zobowiązanie to zostało zastrzeżone w umowie z dostawcą technologii. Dostawca może przechowywać treści oflagowane przez automatyczny system bezpieczeństwa wyłącznie w celu weryfikacji nadużyć, zgodnie ze swoimi warunkami.
6. Funkcja dyktowania korzysta z mechanizmu rozpoznawania mowy wbudowanego w system operacyjny urządzenia (Apple lub Google), działającego na zasadach określonych w politykach prywatności tych dostawców. Nagrania głosowe nie są przekazywane do LIVIZU ani do dostawcy technologii sztucznej inteligencji i nie są przez nas przechowywane – do Aplikacji trafia wyłącznie rozpoznany tekst. Asystent AI nie służy do rozpoznawania emocji ani identyfikacji osób na podstawie głosu.
7. Do Asystenta AI nie należy wprowadzać danych, które nie są niezbędne do przygotowania treści, w szczególności danych dotyczących zdrowia Dzieci ani innych danych szczególnych kategorii, o których mowa w art. 9 ust. 1 RODO. Stosowna informacja jest prezentowana w interfejsie funkcji.
8. Asystent AI nie służy do oceniania Dzieci, podejmowania decyzji o przyjęciu do Placówki, monitorowania zachowania ani do profilowania. W związku z tym nie stanowi systemu sztucznej inteligencji wysokiego ryzyka w rozumieniu załącznika III do rozporządzenia (UE) 2024/1689.
9. Jeżeli dostawca technologii sztucznej inteligencji ma siedzibę poza Europejskim Obszarem Gospodarczym, przekazanie danych następuje na zasadach opisanych w § 12.

§ 10.Uprawnienia aplikacji mobilnej

1. Aplikacja może – za zgodą Użytkownika wyrażaną na poziomie systemu operacyjnego urządzenia – uzyskiwać dostęp do:
   1. mikrofonu – wyłącznie w celu obsługi poleceń głosowych Asystenta AI;
   2. aparatu fotograficznego i galerii zdjęć – wyłącznie w celu dodawania materiałów do Albumu przez Pracownika Placówki;
   3. wysyłania powiadomień push – w celu przekazywania informacji o wydarzeniach, wiadomościach i przypomnieniach.
2. Udzielenie każdego z tych uprawnień jest dobrowolne i może zostać w każdej chwili odwołane w ustawieniach urządzenia. Odwołanie uprawnienia może ograniczyć działanie odpowiednich funkcji Aplikacji.
3. Powiadomienia push są doręczane za pośrednictwem usługi Expo Push Service (650 Industries, Inc., Stany Zjednoczone), działającej jako pośrednik, a następnie usług Apple Push Notification service (Apple Inc.) oraz Firebase Cloud Messaging (Google Ireland Limited / Google LLC), działających zgodnie z zasadami prywatności ich dostawców.
4. Aplikacja nie zbiera danych o lokalizacji urządzenia.

§ 11.Odbiorcy danych i podwykonawcy

1. Odbiorcami danych osobowych mogą być:
   1. podmioty przetwarzające działające na zlecenie LIVIZU – dostawca infrastruktury chmurowej i hostingu, dostawca technologii sztucznej inteligencji, dostawca usług poczty elektronicznej – Resend, Inc. (Stany Zjednoczone), za pośrednictwem którego wysyłamy wiadomości z zaproszeniem do Aplikacji oraz linkiem do zresetowania hasła, dostawca usług powiadomień, dostawcy narzędzi wsparcia klienta i analityki;
   2. odrębni administratorzy – operatorzy płatności, w tym Apple Inc. w zakresie subskrypcji realizowanych za pośrednictwem App Store oraz Google w zakresie Google Play, dostawcy usług powiadomień push, biuro rachunkowe, doradcy prawni, operatorzy pocztowi i kurierzy;
   3. organy publiczne – wyłącznie wtedy, gdy obowiązek udostępnienia danych wynika z przepisów prawa i w zakresie z nich wynikającym.
2. W zakresie danych powierzonych przez Placówkę korzystamy z podwykonawców (dalszych podmiotów przetwarzających) na zasadach określonych w Umowie powierzenia.
3. Nie sprzedajemy danych osobowych ani nie udostępniamy ich podmiotom trzecim w celach marketingowych tych podmiotów.

§ 12.Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Dane osobowe przetwarzane w Aplikacji są przechowywane na serwerach zlokalizowanych na terytorium Europejskiego Obszaru Gospodarczego. Wyjątek stanowią wiadomości e-mail wysyłane z Aplikacji (zaproszenia oraz linki do zresetowania hasła), które dostawca usług poczty elektronicznej przechowuje w Stanach Zjednoczonych przez okres 30 dni od wysłania wraz z adresem e-mail odbiorcy, nazwą Placówki oraz danymi o doręczeniu.
2. W zakresie, w jakim korzystamy z dostawców mających siedzibę w państwach trzecich – w szczególności dostawcy usług poczty elektronicznej oraz dostawców usług powiadomień push – przekazanie danych odbywa się wyłącznie na podstawie:
   1. decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, w tym decyzji wykonawczej z dnia 10 lipca 2023 r. w sprawie odpowiedniego stopnia ochrony danych osobowych zapewnianego przez Ramy Ochrony Danych UE–USA (EU–US Data Privacy Framework) – wobec odbiorców posiadających aktualną certyfikację; albo
   2. standardowych klauzul umownych przyjętych decyzją wykonawczą Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. (art. 46 ust. 2 lit. c RODO), uzupełnionych – w razie potrzeby – o dodatkowe środki zabezpieczające wynikające z oceny skutków przekazania.
3. Przed rozpoczęciem przekazywania danych do państwa trzeciego przeprowadzamy ocenę skutków przekazania, uwzględniającą przepisy i praktykę państwa odbiorcy.
4. Można uzyskać informację o stosowanych zabezpieczeniach lub kopię odpowiedniej dokumentacji, kontaktując się pod adresem kontakt@livizu.com.

§ 13.Prawa osób, których dane dotyczą

1. Przysługują Państwu następujące prawa:
   1. prawo dostępu do danych oraz uzyskania ich kopii (art. 15 RODO);
   2. prawo do sprostowania i uzupełnienia danych (art. 16 RODO);
   3. prawo do usunięcia danych – „prawo do bycia zapomnianym” (art. 17 RODO);
   4. prawo do ograniczenia przetwarzania (art. 18 RODO);
   5. prawo do przenoszenia danych (art. 20 RODO) – w zakresie danych przetwarzanych w sposób zautomatyzowany na podstawie zgody lub umowy;
   6. prawo do sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, w tym wobec profilowania (art. 21 ust. 1 RODO), oraz – w każdym czasie i bez podania przyczyny – wobec przetwarzania na potrzeby marketingu bezpośredniego (art. 21 ust. 2 RODO);
   7. prawo do cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem (art. 7 ust. 3 RODO);
   8. prawo wniesienia skargi do organu nadzorczego.
2. Poszczególne prawa przysługują w zakresie wyznaczonym przez podstawę prawną i cel przetwarzania. Przykładowo prawo do usunięcia danych nie obejmuje danych, których przechowywanie jest niezbędne do wywiązania się z obowiązku prawnego (np. dokumentacji księgowej) albo do ustalenia, dochodzenia lub obrony roszczeń.
3. Żądania można zgłaszać na adres kontakt@livizu.com lub pisemnie na adres wskazany w § 4. Udzielamy odpowiedzi bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania. Termin ten może zostać przedłużony o dalsze dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań, o czym poinformujemy w ciągu miesiąca od otrzymania żądania (art. 12 ust. 3 RODO).
4. W zakresie danych, których administratorem jest Placówka (§ 3 ust. 1 lit. b), żądania należy kierować bezpośrednio do Placówki. Dotyczy to w szczególności żądań usunięcia danych Dziecka, usunięcia zdjęć z Albumu oraz dostępu do treści komunikacji prowadzonej w ramach Placówki. Żądanie skierowane omyłkowo do LIVIZU przekażemy niezwłocznie Placówce i poinformujemy o tym osobę zgłaszającą.
5. Skargę można wnieść do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl.

§ 14.Dobrowolność podania danych

1. Podanie danych jest dobrowolne, jednak w zakresie danych oznaczonych jako wymagane przy rejestracji – niezbędne do założenia i prowadzenia konta w Aplikacji. Niepodanie tych danych uniemożliwia korzystanie z Aplikacji.
2. Podanie danych rozliczeniowych jest niezbędne do zawarcia i wykonania umowy o subskrypcję oraz wynika z przepisów podatkowych i o rachunkowości.
3. Podanie danych w celach marketingowych oraz wyrażenie zgód na komunikację elektroniczną jest w pełni dobrowolne i nie warunkuje korzystania z Aplikacji.
4. W zakresie danych wprowadzanych przez Placówkę zasady i konsekwencje ich podania wynikają z relacji Rodzica lub pracownika z Placówką oraz z przepisów regulujących działalność Placówki – informacji w tym zakresie udziela Placówka.

§ 15.Zautomatyzowane podejmowanie decyzji i profilowanie

1. Nie podejmujemy wobec Użytkowników decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływały (art. 22 RODO).
2. Aplikacja nie profiluje Dzieci, nie tworzy ich profili osobowych ani nie wykorzystuje ich danych do celów marketingowych.
3. Automatyczne przypomnienia i powiadomienia generowane przez Aplikację opierają się na regułach ustalonych przez Placówkę lub Użytkownika i nie stanowią zautomatyzowanego podejmowania decyzji w rozumieniu art. 22 RODO.

§ 16.Bezpieczeństwo danych

1. Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka naruszenia praw i wolności osób fizycznych (art. 32 RODO), w szczególności:
   1. szyfrowanie transmisji danych protokołem TLS oraz szyfrowanie danych przechowywanych;
   2. kontrolę dostępu opartą na rolach – Pracownik Placówki uzyskuje dostęp wyłącznie do danych grupy, za którą odpowiada, a Rodzic wyłącznie do danych własnego Dziecka;
   3. uwierzytelnianie Użytkowników hasłem ustalanym samodzielnie przez Użytkownika przy aktywacji konta – Aplikacja nie nadaje ani nie przesyła haseł – wraz z możliwością samodzielnej zmiany hasła oraz jego zresetowania w razie utraty dostępu;
   4. regularne kopie zapasowe i testowanie procedur odtwarzania danych;
   5. rejestrowanie zdarzeń w systemie (logi) umożliwiające wykrycie nieuprawnionego dostępu;
   6. upoważnianie do przetwarzania danych wyłącznie osób, które zobowiązały się do zachowania poufności, oraz stosowanie zasady minimalnych niezbędnych uprawnień;
   7. okresowe testowanie, mierzenie i ocenianie skuteczności stosowanych środków.
2. Zalecamy Użytkownikom stosowanie unikalnych haseł, niezwłoczną zmianę hasła w razie podejrzenia jego ujawnienia oraz zabezpieczenie urządzenia, na którym korzystają z Aplikacji.

§ 17.Naruszenia ochrony danych

1. W razie naruszenia ochrony danych osobowych, wobec których jesteśmy administratorem, zgłaszamy je Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1 RODO). Jeżeli naruszenie może powodować wysokie ryzyko, zawiadamiamy o nim również osobę, której dane dotyczą (art. 34 RODO).
2. W razie naruszenia dotyczącego danych powierzonych przez Placówkę zawiadamiamy o nim Placówkę bez zbędnej zwłoki po stwierdzeniu naruszenia (art. 33 ust. 2 RODO); zgłoszenia do organu nadzorczego i zawiadomienia osób dokonuje wówczas Placówka jako administrator.
3. Prowadzimy wewnętrzną dokumentację naruszeń ochrony danych osobowych, obejmującą okoliczności naruszenia, jego skutki oraz podjęte działania zaradcze.

§ 18.Szczególna ochrona danych dzieci

1. Dzieci wymagają szczególnej ochrony danych osobowych, ponieważ mogą być mniej świadome ryzyka, konsekwencji i przysługujących im praw (motyw 38 RODO). Uwzględniamy to przy projektowaniu Aplikacji, stosując zasadę minimalizacji danych oraz domyślnej ochrony danych (art. 25 RODO).
2. Aplikacja jest przeznaczona dla osób dorosłych – Pracowników Placówki oraz Rodziców. Nie zakładamy kont dla Dzieci i nie kierujemy do nich usług bezpośrednio, wobec czego art. 8 RODO nie znajduje zastosowania.
3. Nie wykorzystujemy danych Dzieci do celów marketingowych, do tworzenia profili osobowych ani do trenowania modeli sztucznej inteligencji.

§ 19.Zmiany Polityki

1. Polityka może być zmieniana w razie zmiany przepisów prawa, funkcjonalności Aplikacji, dostawców usług lub sposobu przetwarzania danych.
2. O istotnych zmianach informujemy Użytkowników za pośrednictwem Aplikacji lub pocztą elektroniczną, z co najmniej 14-dniowym wyprzedzeniem przed wejściem zmian w życie.
3. Każda wersja Polityki jest oznaczona numerem i datą wejścia w życie.

§ 20.Postanowienia końcowe

1. W sprawach nieuregulowanych w Polityce zastosowanie mają przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz pozostałe przepisy prawa powszechnie obowiązującego.
2. Polityka wchodzi w życie z dniem 1 września 2026 r.