Polityka prywatności

Wersja 2026-09-28. W razie rozbieżności rozstrzyga wersja polska.

Ta polityka wyjaśnia, jakie dane osobowe przetwarza DiveTheory, w jakim celu i jakie prawa Ci przysługują. DiveTheory to serwis internetowy, który pomaga instruktorom nurkowania prowadzić teoretyczną część kursów. Serwis nie wydaje certyfikatów nurkowych.

1. Kim jesteśmy

DiveTheory prowadzi Bartlomiej Zubrzycki IT Services, Warszawa, NIP 9512298102 („my”, „Operator”).

W sprawach dotyczących danych pisz na adres divetheory@nopressurediving.com.

2. Dwie role: instruktorzy i kursanci

Instruktorzy. Dla danych konta instruktora (e-mail, hasło, nazwa szkoły) jesteśmy administratorem: to my decydujemy o celach i sposobach ich przetwarzania.
Kursanci. Konta kursantów zakłada instruktor lub szkoła, która jest administratorem danych kursantów: szkoła decyduje, kogo zapisuje na kurs i co robi z wynikami. My przetwarzamy te dane w imieniu szkoły jako podmiot przetwarzający, na podstawie umowy powierzenia przetwarzania danych, którą każdy instruktor akceptuje przy rejestracji. Jeśli jesteś kursantem, w sprawie swoich danych zwróć się najpierw do instruktora; możesz też napisać do nas, a przekażemy prośbę i pomożemy instruktorowi na nią odpowiedzieć.

3. Jakie dane przetwarzamy

Instruktorzy:

adres e-mail i hasło (przechowywane wyłącznie jako skrót z solą, z którego nie da się odtworzyć hasła);
nazwa szkoły lub organizacji;
data akceptacji regulaminu i jego wersja;
to, co robisz w serwisie: dodani kursanci, przypisane kursy, zadania naprawcze, oceny i zapisy szkolenia.

Kursanci (w imieniu szkoły):

imię, nazwisko i adres e-mail wpisane przez instruktora;
przypisane kursy i wybrany dla nich język;
postępy w lekcjach, odpowiedzi w quizach i egzaminach, wyniki oraz tematy, które wyniki wskazują jako słabsze;
zadania naprawcze, oceny i uwagi instruktora oraz zapisy szkolenia;
data akceptacji regulaminu i jego wersja.

Wszyscy użytkownicy:

dane techniczne potrzebne do bezpiecznego działania serwisu: adres IP, typ przeglądarki, czas i adres żądań oraz nieudane próby logowania. Aplikacja używa adresu IP tylko w pamięci, aby ograniczać wielokrotne wysyłanie formularzy; serwer i Cloudflare (zob. punkt 6) krótko przechowują go w logach.
raporty błędów (zob. punkt 6, Sentry): strona, na której wystąpił błąd, i szczegóły techniczne. Nie zawierają adresów IP, plików cookie ani danych konta.

Nie zbieramy danych o zdrowiu. Instruktorzy nie mogą ich wpisywać do serwisu (na przykład odpowiedzi z kwestionariusza medycznego).

4. Cele i podstawy prawne

Dane instruktorów, dla których jesteśmy administratorem, przetwarzamy:

aby założyć i prowadzić konto oraz świadczyć usługę zgodnie z regulaminem: art. 6 ust. 1 lit. b RODO (wykonanie umowy);
aby zapewnić bezpieczeństwo serwisu, zapobiegać nadużyciom oraz wykrywać i naprawiać błędy: art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes w bezpiecznym i działającym serwisie);
aby odpowiadać na wiadomości i wnioski oraz ustalać, dochodzić roszczeń lub się przed nimi bronić: art. 6 ust. 1 lit. f RODO;
aby wypełniać obowiązki prawne, na przykład dokumentować obsługę wniosków dotyczących danych: art. 6 ust. 1 lit. c RODO.

Dane kursantów przetwarzamy na polecenie szkoły. Podstawą prawną po stronie szkoły jest zwykle umowa o kurs nurkowy (art. 6 ust. 1 lit. b RODO) lub jej prawnie uzasadniony interes w prowadzeniu i dokumentowaniu szkolenia (art. 6 ust. 1 lit. f RODO).

5. Automatyczna analiza wyników

Serwis automatycznie ocenia quizy i egzaminy oraz pokazuje instruktorowi, które tematy sprawiły kursantowi trudność. Ma to wspierać nauczanie. O gotowości kursanta i o certyfikacji decyduje instruktor, nie serwis.

6. Odbiorcy danych

Korzystamy z usług poniższych dostawców; z każdym łączy nas umowa powierzenia przetwarzania danych:

Hetzner Online GmbH, Niemcy: serwer, na którym działa serwis i jest przechowywana baza danych, na terenie Unii Europejskiej.
Cloudflare, Inc., USA: DNS domeny, szyfrowane połączenie, ochrona przed atakami oraz przechowywanie kopii zapasowych bazy danych. Cały ruch do serwisu przechodzi przez Cloudflare.
Sendinblue SAS (Brevo), Francja: wysyłka e-maili serwisu (zaproszenia, potwierdzenie konta, reset hasła). Otrzymuje adres odbiorcy i treść wiadomości.
Functional Software, Inc. (Sentry), USA: raporty błędów, przechowywane w regionie danych Unii Europejskiej.

Dane przekazywane dostawcom z siedzibą w USA są przekazywane na podstawie programu EU–US Data Privacy Framework lub standardowych klauzul umownych Komisji Europejskiej (art. 45–46 RODO).

Dane kursanta widzą instruktorzy jego szkoły. Nie sprzedajemy danych i nie używamy ich do reklamy. Organom publicznym udostępniamy je tylko wtedy, gdy wymaga tego prawo.

7. Jak długo przechowujemy dane

Dane konta: przez czas istnienia konta. Po wniosku o usunięcie: w ciągu miesiąca. Kopie zapasowe, które nadal je zawierają, są nadpisywane w ciągu kolejnych 30 dni.
Dane kursantów: tak długo, jak szkoła przechowuje je w serwisie; usuwamy je na wniosek szkoły lub po zamknięciu jej konta (zob. umowa powierzenia).
Logi serwera i Cloudflare: najwyżej 30 dni.
Raporty błędów w Sentry: najwyżej 90 dni.
E-maile: Brevo przechowuje logi doręczeń przez ograniczony czas określony przez Brevo.
Dokumentacja wniosków dotyczących danych i ich obsługi: do 3 lat, abyśmy mogli wykazać ich prawidłowe załatwienie.

8. Twoje prawa

Masz prawo:

dostępu do swoich danych i otrzymania ich kopii (art. 15 RODO);
ich sprostowania (art. 16);
ich usunięcia (art. 17);
ograniczenia przetwarzania (art. 18);
otrzymania ich w formacie nadającym się do odczytu maszynowego (art. 20);
sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (art. 21).

Na stronie konta możesz w każdej chwili pobrać dane swojego konta. Po pełną kopię obejmującą kursy i wyniki, w sprawie usunięcia danych lub z innym wnioskiem napisz na adres divetheory@nopressurediving.com z adresu, którym się logujesz. Kursanci mogą też zwrócić się do instruktora. Odpowiadamy w ciągu miesiąca.

Możesz też złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl), lub do organu nadzorczego w państwie UE, w którym mieszkasz albo pracujesz.

Podanie danych jest dobrowolne, ale bez adresu e-mail i hasła nie założymy konta, a bez danych wpisanych przez instruktora szkoła nie może prowadzić Twojego kursu w serwisie.

9. Osoby niepełnoletnie

Kursy nurkowe są dostępne także dla dzieci i młodzieży. Jeśli kursant ma mniej niż 18 lat, szkoła zapewnia, że rodzic lub opiekun prawny zgodził się na korzystanie przez niego z DiveTheory. Rodzic lub opiekun może wykonywać w imieniu kursanta opisane wyżej prawa.

10. Pliki cookie

Serwis używa wyłącznie plików cookie niezbędnych do działania, dlatego nie prosi o zgodę na ich zapisanie:

.AspNetCore.Identity.Application: utrzymuje zalogowanie; usuwany po wylogowaniu lub zamknięciu przeglądarki albo po 14 dniach, jeśli zaznaczysz „Remember me” (zapamiętaj mnie);
.AspNetCore.Antiforgery.*: chroni formularze przed wysłaniem z innych stron; na czas sesji przeglądarki;
Identity.StatusMessage: wyświetla jednorazowy komunikat po wykonaniu czynności, np. o gotowości konta; usuwany po wyświetleniu;
.AspNetCore.Culture: zapamiętuje język interfejsu (polski lub angielski), gdy wybierzesz go przełącznikiem PL/EN; zapisywany tylko wtedy, na rok;
Cloudflare może zapisywać techniczne pliki cookie, np. __cf_bm, aby odróżniać ludzi od zautomatyzowanych ataków.

Nie używamy plików cookie analitycznych, reklamowych ani śledzących, a strony nie ładują skryptów ani czcionek z zewnętrznych serwisów.

11. Bezpieczeństwo

Połączenia są szyfrowane (HTTPS). Hasła przechowujemy wyłącznie jako skróty. Baza danych nie jest dostępna z internetu. Każda szkoła widzi tylko swoich kursantów. Wielokrotne nieudane logowanie blokuje konto na krótki czas. Kopie zapasowe wykonujemy codziennie, a ich odtwarzanie jest testowane.

12. Zmiany polityki

Jeśli polityka zmieni się w istotny sposób, poinformujemy użytkowników e-mailem lub w serwisie, zanim zmiana wejdzie w życie. Data wersji znajduje się na górze.