Polityka prywatności

1. Informacje, które gromadzimy

Gromadzimy następujące kategorie danych:

• Informacje o koncie: imię i nazwisko, adres e-mail, skrót hasła, rola (student, rekruter, administrator), zdjęcie profilowe, jeśli je prześlesz.
• Zapytanie i informacje akademickie: informacje przesyłane za pośrednictwem naszych formularzy zapytań i rejestracji, takie jak imię i nazwisko, adres e-mail, numer telefonu, kraj pochodzenia, kraje docelowe, preferowany poziom studiów, zainteresowania programowe, wyniki egzaminów (TOEFL/IELTS/GRE/GMAT itp.), średnia GPA, poprzednia uczelnia, budżet i semestr rozpoczęcia. Zapytanie można przesłać bez zakładania konta.
• Dokumenty, które przesyłasz: wykazy ocen, listy motywacyjne, listy rekomendacyjne, kopie paszportu, dokumenty wizowe i inne materiały aplikacyjne.
• Komunikacja: wiadomości wysyłane do doradców, zgłoszenia do pomocy technicznej, przesyłane recenzje.
• Informacje o poleceniach: jeśli dołączysz do naszego programu poleceń lub rekruterskiego, albo zarejestrujesz się przy użyciu cudzego kodu lub linku polecającego, rejestrujemy kod polecający oraz powstałe powiązanie między kontami, aby zarządzać programem.
• Informacje o płatnościach: nie przechowujemy numerów kart; płatności są przetwarzane przez Stripe, który otrzymuje dane karty bezpośrednio z Twojej przeglądarki. Przechowujemy identyfikator płatności Stripe, pobraną kwotę oraz status zakupu.
• Informacje o użytkowaniu i urządzeniu: adres IP, ciąg user-agent, ścieżka żądania i znacznik czasu zapisywane w logach po stronie serwera oraz u naszego dostawcy brzegowego (Cloudflare). Wykorzystywane wyłącznie do celów bezpieczeństwa, zapobiegania nadużyciom i debugowania. Nie stosujemy analityki po stronie klienta ani trackerów reklamowych.
• Rejestry zgód: gdy przesyłasz zapytanie, rejestrujesz się lub wyrażasz zgodę na e-maile marketingowe, przechowujemy zapis udzielonej zgody (które pole wyboru, na której stronie, wersja polityki, Twój adres IP oraz user-agent w danym momencie), abyśmy mogli wykazać zgodę w razie późniejszego zakwestionowania.
• Dostawcy uwierzytelniania: jeśli logujesz się przez Google, otrzymujemy od Google Twoje imię i nazwisko, adres e-mail oraz zdjęcie profilowe zgodnie z Twoją zgodą.

2. Dlaczego przetwarzamy te dane (podstawy prawne)

W przypadku użytkowników z UE, Wielkiej Brytanii i EOG opieramy się na następujących podstawach prawnych zgodnie z RODO:

• Umowa (art. 6 ust. 1 lit. b): aby utworzyć i zarządzać Twoim kontem, odpowiadać na zapytania, prezentować odpowiednie oferty uczelni i stypendiów, przetwarzać płatności, świadczyć zakupione usługi, zapewniać wsparcie doradcy oraz administrować programem poleceń.
• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f): aby obsługiwać i zabezpieczać Usługę, zapobiegać oszustwom i nadużyciom, analizować zagregowane użycie w celu poprawy jakości produktu oraz odpowiadać na zapytania.
• Obowiązek prawny (art. 6 ust. 1 lit. c): aby spełnić wymogi podatkowe, rachunkowe i regulacyjne.
• Zgoda (art. 6 ust. 1 lit. a): w przypadku opcjonalnej komunikacji marketingowej.

3. Jak udostępniamy Twoje dane

Nie sprzedajemy Twoich danych osobowych. Nie udostępniamy Twoich danych osobowych uczelniom ani organizacjom stypendialnym; oferty w Usłudze są zestawiane ze źródeł publicznych, a my nie jesteśmy agentem rekrutacyjnym żadnej instytucji. Udostępniamy dane:

• Dostawcom usług, którzy pomagają nam prowadzić Usługę:
  • Stripe, Inc. (przetwarzanie płatności, USA), polityka prywatności.
  • Hetzner Online GmbH (hosting serwerów, Niemcy), polityka prywatności.
  • Cloudflare, Inc. (DNS, CDN, TLS, zabezpieczenia brzegowe oraz pamięć obiektowa R2 dla przesyłanych dokumentów, takich jak kopie paszportu i wizy, USA), polityka prywatności.
  • Neon, Inc. (zarządzana baza danych Postgres, region: AWS Frankfurt, Niemcy), polityka prywatności.
  • Resend, Inc. (e-maile transakcyjne, USA), polityka prywatności.
  • Google LLC (logowanie OAuth, USA), polityka prywatności.
  Dostawcy ci są zobowiązani umownie do wykorzystywania Twoich danych wyłącznie w zakresie niezbędnym do świadczenia nam usług.
• Organom prawnym: gdy wymaga tego prawo, wezwanie sądowe lub ochrona naszych praw i bezpieczeństwa.
• W ramach transakcji biznesowych: w związku z fuzją, przejęciem lub sprzedażą aktywów (po powiadomieniu Cię).

4. Międzynarodowe transfery danych

Nasze serwery i główna baza danych znajdują się w Niemczech (UE). Niektórzy z naszych dostawców usług (Stripe, Resend, Cloudflare, Google) mają siedziby w Stanach Zjednoczonych. Gdy dane są przekazywane poza UE/EOG, opieramy się na Standardowych Klauzulach Umownych (SCC) zatwierdzonych przez Komisję Europejską oraz na certyfikacji każdego dostawcy w ramach obowiązujących ram prawnych (np. EU-US Data Privacy Framework).

5. Jak długo przechowujemy Twoje dane

• Dane konta: tak długo, jak Twoje konto jest aktywne, oraz do 24 miesięcy po usunięciu w celu zapobiegania oszustwom.
• Dokumenty aplikacyjne (wykazy ocen, listy, rekomendacje, wyniki egzaminów): przechowywane, dopóki korzystasz z aktywnej usługi u nas, a w przeciwnym razie usuwane po osiągnięciu naszego okresu przechowywania od przesłania. Wrażliwe dokumenty tożsamości i finansowe (kopie paszportu, dokumentacja finansowa) są przechowywane krócej niż inne dokumenty. Możesz też samodzielnie usunąć dowolny dokument z poziomu panelu w dowolnym momencie. Zobacz „Jak usuwamy dokumenty” poniżej.
• Dokumentacja płatności: 7 lat ze względu na zgodność podatkową i rachunkową.
• Komunikacja z pomocą techniczną: do 3 lat po rozwiązaniu sprawy.
• Logi serwera: do 90 dni.

Jak usuwamy dokumenty

Stosujemy proces przechowywania danych wobec przesłanych dokumentów, aby nie przetrzymywać ich dłużej niż to konieczne. Dokument kwalifikuje się do usunięcia, gdy nie korzystasz już z aktywnej usługi u nas i jest starszy niż okres przechowywania dla swojego typu, lub gdy osiągnie bezwzględny maksymalny wiek niezależnie od aktywności. Dokumenty powiązane z aktywną usługą nigdy nie są usuwane w tym procesie. Przed usunięciem dowolnego dokumentu wysyłamy do Ciebie e-mail i wyświetlamy powiadomienie w panelu, a Ty możesz oznaczyć dokument do zachowania, jeśli nadal go potrzebujesz. Kwalifikujące się dokumenty są najpierw ukrywane i przechowywane przez okres karencji, w którym można je przywrócić, a następnie trwale usuwane z naszej pamięci. Dokładne okresy przechowywania są konfigurowane przez nasz zespół i mogą ulec zmianie; zawsze możesz zażądać wcześniejszego usunięcia swoich danych za pośrednictwem portalu praw opisanego w sekcji „Twoje prawa” poniżej.

6. Twoje prawa

W zależności od miejsca zamieszkania możesz mieć następujące prawa dotyczące swoich danych osobowych:

• Dostęp: zażądanie kopii danych, które o Tobie przechowujemy.
• Sprostowanie: poproszenie nas o poprawienie nieprawidłowych danych.
• Usunięcie: zażądanie usunięcia konta i powiązanych danych (z zastrzeżeniem prawnych obowiązków przechowywania).
• Przenoszenie: otrzymanie kopii danych w formacie nadającym się do odczytu maszynowego.
• Sprzeciw i ograniczenie: sprzeciw wobec przetwarzania lub poproszenie nas o jego ograniczenie.
• Wycofanie zgody: w przypadku przetwarzania opartego na zgodzie.
• Skarga: złożenie skargi do lokalnego organu ochrony danych.

Wiele z tych praw możesz zrealizować samodzielnie na stronie Prywatność i dane w swoim koncie: możesz pobrać kopię swoich danych w formacie nadającym się do odczytu maszynowego (przenoszenie), edytować profil (sprostowanie), zarządzać zgodą marketingową oraz zażądać usunięcia konta. W przypadku czegokolwiek, czego nie da się tam wykonać, napisz do nas na [email protected]. Odpowiadamy w ciągu 30 dni.

Mieszkańcy UE/Wielkiej Brytanii (RODO/UK GDPR): jeśli uważasz, że nie obsłużyliśmy Twoich danych właściwie, masz prawo złożyć skargę do krajowego organu ochrony danych. Swój organ możesz znaleźć za pośrednictwem Europejskiej Rady Ochrony Danych.

Mieszkańcy Kalifornii (CCPA/CPRA): oprócz powyższych praw masz prawo do wiedzy, jakie dane osobowe gromadzimy, do żądania ich usunięcia lub sprostowania, do rezygnacji ze sprzedaży lub udostępniania danych osobowych oraz do ograniczenia wykorzystywania wrażliwych danych osobowych. Nie sprzedajemy ani nie udostępniamy danych osobowych w rozumieniu tych pojęć stosowanym w CCPA/CPRA (nie wymieniamy ich za wynagrodzenie pieniężne ani inne wartościowe świadczenie i nie udostępniamy ich na potrzeby reklamy behawioralnej między kontekstami). Możesz również wyznaczyć upoważnionego pełnomocnika do złożenia żądania w Twoim imieniu; przed podjęciem działań zweryfikujemy upoważnienie pełnomocnika. Nie dyskryminujemy użytkowników korzystających ze swoich praw do prywatności.

Brazylia (LGPD): osoby, których dane dotyczą, w Brazylii mają równoważne prawa dostępu, sprostowania, anonimizacji, przenoszenia, usunięcia, informacji o udostępnianiu oraz cofnięcia zgody. Nasz powyższy kontakt służy również jako kanał dla żądań LGPD.

Kanada (PIPEDA): użytkownicy z Kanady mogą żądać dostępu do swoich danych osobowych i ich sprostowania oraz mogą cofnąć zgodę (z zastrzeżeniem ograniczeń prawnych lub umownych), kontaktując się z nami pod powyższym adresem e-mail.

Korea Południowa (PIPA): użytkownicy w Republice Korei mają prawo do uzyskania informacji o przetwarzaniu swoich danych osobowych oraz do dostępu do nich, ich sprostowania, usunięcia i wstrzymania przetwarzania, a także do wycofania wcześniej udzielonej zgody. Gromadzimy dane osobowe wyłącznie za Twoją zgodą lub na innej podstawie prawnej, wykorzystujemy je wyłącznie do celów opisanych w niniejszej polityce i nie przekazujemy ich stronom trzecim, z wyjątkiem przypadków tu określonych. Aby skorzystać z tych praw lub zgłosić jakiekolwiek obawy dotyczące sposobu obsługi Twoich danych osobowych, skontaktuj się z nami pod adresem [email protected]. Możesz również zgłosić obawy do Personal Information Protection Commission (PIPC) lub Korea Internet & Security Agency (KISA).

7. Bezpieczeństwo

Stosujemy standardowe w branży środki ochrony Twoich danych podczas przesyłania (TLS 1.3) oraz w spoczynku (AES-256 w naszej bazie danych i magazynie plików). Hasła są haszowane za pomocą bcrypt. Dostęp jest ograniczony do upoważnionego personelu na zasadzie wiedzy koniecznej. Mimo tych środków żaden system nie jest w pełni bezpieczny; jeśli wykryjemy naruszenie istotnie wpływające na Twoje dane, powiadomimy Cię oraz, gdy będzie to wymagane, odpowiednie organy bez zbędnej zwłoki.

8. Pliki cookie i analityka

Nie stosujemy analityki stron trzecich, reklam ani śledzenia między witrynami. Rejestrujemy podstawowe metadane żądań po stronie serwera (adres IP, user-agent, ścieżka żądania i znacznik czasu) na potrzeby bezpieczeństwa, zapobiegania nadużyciom i debugowania. Logi te są przechowywane do 90 dni.

Używamy niewielkiej liczby własnych plików cookie oraz jednego wpisu localStorage, z których wszystkie są ściśle niezbędne lub oparte na preferencjach (brak wymogu zgody zgodnie z przepisami UE dotyczącymi e-prywatności):

• Sesja uwierzytelniania (plik cookie ustawiany przez NextAuth, HTTP-only, wygasa po wylogowaniu lub po upływie czasu trwania sesji): utrzymuje Cię zalogowanym na różnych stronach.
• gp_ref (TTL 90 dni): zapisuje kod polecający z adresu URL ?ref=CODE, abyśmy mogli przypisać Twoją rejestrację właściwemu rekruterowi lub użytkownikowi polecającemu.
• gp-theme (przechowywany w localStorage przeglądarki, a nie jako plik cookie HTTP): zapamiętuje Twoją preferencję motywu jasny/ciemny/wysoki kontrast.

Możesz je usunąć w dowolnym momencie za pomocą ustawień danych witryny w przeglądarce. Usunięcie pliku cookie uwierzytelniania wyloguje Cię; usunięcie pozostałych przywraca ustawienia domyślne i usuwa przypisanie polecenia.

9. Dzieci

GlobalPath nie jest skierowany do dzieci poniżej 16. roku życia. Nie gromadzimy świadomie danych osobowych od osób poniżej 16. roku życia. Jeśli dowiemy się, że zgromadziliśmy takie informacje, usuwamy je. Jeśli uważasz, że dziecko poniżej 16. roku życia przekazało nam dane osobowe, skontaktuj się z nami pod adresem [email protected].

10. Zmiany w niniejszej polityce

Możemy okresowo aktualizować niniejszą politykę. Istotne zmiany będą ogłaszane za pośrednictwem e-maila i na tej stronie, z poprawioną datą wejścia w życie powyżej. Dalsze korzystanie z Usługi po wejściu zmian w życie stanowi akceptację zaktualizowanej polityki.

11. Kontakt z nami

W sprawach związanych z prywatnością lub w celu skorzystania ze swoich praw do danych skontaktuj się z naszym zespołem ds. prywatności pod adresem [email protected]. We wszystkich innych sprawach dotyczących Usługi skontaktuj się z nami pod adresem [email protected].