[ POLITYKA PRYWATNOŚCI ]

§1. Administrator danych

Administratorem danych osobowych użytkowników platformy KS-CYBER OPS (ops.ks-cyber.pl) oraz odwiedzających witrynę ks-cyber.pl jest:

W sprawach ochrony danych osobowych można kontaktować się pod adresem: kontakt@ks-cyber.pl

Dwa reżimy przetwarzania

Platforma obsługuje dwa odrębne reżimy przetwarzania danych:

1. Użytkownicy bezpośredni (właściciele kont, osoby zamawiające platformę) — KS-CYBER jest Administratorem.
2. Pracownicy firm-klientów (osoby zaproszone do platformy przez pracodawcę) — pracodawca (firma-klient) jest Administratorem danych swoich pracowników; KS-CYBER działa jako Podmiot Przetwarzający na podstawie Umowy Powierzenia (Art. 28 RODO).

§2. Dane, które zbieramy

2.1. Dane konta

• Adres e-mail (login)
• Imię i nazwisko (opcjonalnie)
• Hasło (przechowywane w formie hasha Argon2id — nigdy w postaci jawnej)
• Klucze FIDO2/WebAuthn (dane kryptograficzne klucza publicznego)

2.2. Dane organizacji

• Nazwa firmy, dane do faktury (NIP, adres)
• Plan subskrypcji, daty aktywacji/wygaśnięcia

2.3. Dane wynikowe szkoleń

• Wyniki symulacji phishingowych i testów (punkty, czas trwania, odpowiedzi)
• Data i godzina ukończenia szkolenia
• Zdarzenia behawioralne podczas egzaminu: liczba przełączeń kart (tab_switches), zdarzenia wklejania (paste_events)
• Certyfikaty ukończenia

2.4. Dane techniczne i logi

• Adres IP (logowanie, tokeny dostępu fizycznego)
• User-Agent przeglądarki
• Logi sesji (czas logowania, wylogowania)
• Logi błędów aplikacji

2.5. Dane płatności

Dane kart płatniczych NIE są przechowywane przez KS-CYBER. Płatności realizowane są przez operatora Stripe Inc. KS-CYBER przechowuje wyłącznie identyfikatory sesji płatności Stripe (session_id) oraz status płatności.

§3. Cele i podstawy prawne przetwarzania

§4. Odbiorcy danych / podprzetwarzający

KS-CYBER nie sprzedaje danych osobowych podmiotom trzecim.

§5. Przekazywanie danych poza EOG

Dane pracowników i wyniki szkoleń przetwarzane są wyłącznie na serwerach AWS w regionie eu-central-1 (Frankfurt) — dane te nie opuszczają Europejskiego Obszaru Gospodarczego.

W przypadku płatności Stripe dane transakcyjne mogą być przekazywane do USA na podstawie Data Privacy Framework (DPF) lub standardowych klauzul umownych (SCC) zgodnych z Art. 46 RODO.

Dane analityczne i reklamowe (Google Analytics 4, Google Signals, Google Ads) przekazywane są na tej samej podstawie — zakres, cel i sposób wycofania zgody opisuje §8a.

§6. Okres przechowywania

§7. Prawa osób, których dane dotyczą

Każda osoba, której dane przetwarzamy, ma prawo do:

• Dostępu do swoich danych (Art. 15 RODO)
• Sprostowania nieprawidłowych danych (Art. 16 RODO)
• Usunięcia danych („prawo do bycia zapomnianym") (Art. 17 RODO)
• Ograniczenia przetwarzania (Art. 18 RODO)
• Przeniesienia danych w formacie JSON/CSV (Art. 20 RODO)
• Sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (Art. 21 RODO)
• Cofnięcia zgody w dowolnym momencie (bez wpływu na wcześniejsze przetwarzanie)

Masz również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa.

§8. Pliki cookies

Ciasteczka niezbędne (ops_sid, ops_csrf, ks_cookie_consent) są wymagane do działania serwisu i nie podlegają odmowie. Ciasteczka analityczne ustawiane są wyłącznie po wyrażeniu zgody — zarówno w witrynie ks-cyber.pl, jak i na platformie ops.ks-cyber.pl.

Gdzie dokładnie działa analityka na platformie. Wewnątrz aplikacji, po zalogowaniu, nie mierzymy Twojego zachowania — przeglądanie szkoleń, wyniki i praca w panelu nie są przekazywane do Google Analytics. Analityka obejmuje wyłącznie strony publiczne i ścieżkę zakupową: stronę główną, program partnerski, formularz wersji próbnej, formularz zamówienia oraz strony potwierdzenia. Na dwóch ostatnich rejestrujemy sam fakt założenia konta próbnego albo zakupu — także wtedy, gdy jesteś w tym momencie zalogowany — ponieważ bez tego nie umielibyśmy rozliczyć skuteczności reklamy, która Cię do nas przyprowadziła.

Zgodę możesz w każdej chwili wycofać, usuwając ciasteczka w ustawieniach przeglądarki albo klikając „Ustawienia cookies" w stopce — wtedy baner pojawi się ponownie.

Pomiar bez ciasteczek. Niezależnie od Twojej decyzji o ciasteczkach witryna korzysta z Cloudflare Web Analytics — narzędzia, które nie ustawia żadnych ciasteczek i nie profiluje odwiedzających, a zlicza wyłącznie zagregowaną liczbę odsłon i podstawowe parametry techniczne żądania (w tym adres IP, przetwarzany przez Cloudflare jako podmiot przetwarzający).

§8a. Google Analytics, Google Signals i reklamy

Za Twoją zgodą na ciasteczka analityczne korzystamy z Google Analytics 4 (identyfikator pomiaru G-8H8M7VH2P3). Administratorem tej usługi jest Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlandia. Mierzymy ruch na witrynie ks-cyber.pl i na publicznych stronach platformy ops.ks-cyber.pl — obie domeny należą do nas i są objęte jedną właściwością pomiarową, dlatego przejście z witryny na platformę liczymy jako jedną wizytę, a nie dwie.

Google Signals. W usłudze Google Analytics włączyliśmy funkcję Google Signals. Oznacza to, że dane o Twojej wizycie mogą zostać powiązane przez Google z informacjami z Twojego konta Google — ale wyłącznie wtedy, gdy jednocześnie: jesteś zalogowany na koncie Google, masz w ustawieniach tego konta włączoną personalizację reklam, oraz wyraziłeś u nas zgodę na ciasteczka analityczne. Jeżeli którykolwiek z tych warunków nie jest spełniony, powiązanie nie następuje.

Po co to robimy: dzięki temu widzimy, czy ta sama osoba wraca do nas z innego urządzenia, otrzymujemy zbiorcze dane o wieku, płci i zainteresowaniach odwiedzających (wyłącznie w formie zagregowanej — nie widzimy tych informacji o konkretnej osobie) oraz możemy tworzyć listy odbiorców do kampanii reklamowych. Nie używamy tych danych do podejmowania wobec Ciebie decyzji wywołujących skutki prawne i nie profilujemy Cię w rozumieniu art. 22 RODO.

Google Ads. Nasza usługa Google Analytics jest powiązana z kontem Google Ads nr 829-699-5035, a w powiązaniu włączona jest personalizacja reklam. W praktyce oznacza to, że do Google Ads trafiają: informacja o wykonaniu przez Ciebie działania, które mierzymy jako konwersję (założenie konta próbnego, zamówienie, zgłoszenie do programu partnerskiego, wysłanie formularza), oraz przynależność do list odbiorców wykorzystywanych w remarketingu. Nie przekazujemy do Google Twojego imienia, nazwiska, adresu e-mail ani numeru telefonu — funkcję przekazywania zaszyfrowanych danych klientów (user-provided data) mamy świadomie wyłączoną.

Podstawa prawna. Art. 6 ust. 1 lit. a RODO — Twoja zgoda, wyrażana w banerze cookies. Bez zgody skrypty Google nie są w ogóle ładowane. Zgodę możesz wycofać w każdej chwili (patrz §8), a wycofanie nie wpływa na zgodność z prawem przetwarzania dokonanego wcześniej.

Jak to kontrolujesz po stronie Google. Niezależnie od naszego banera masz do dyspozycji narzędzia Google, na które nie mamy wpływu i których nie musisz z nami uzgadniać:

• myaccount.google.com/data-and-privacy — ustawienia prywatności konta Google, w tym wyłączenie personalizacji reklam (wyłączenie jej powoduje, że Google Signals przestaje Cię obejmować);
• myactivity.google.com — wgląd w aktywność powiązaną z Twoim kontem Google i jej usunięcie;
• tools.google.com/dlpage/gaoptout — dodatek do przeglądarki blokujący Google Analytics na wszystkich stronach.

Przekazywanie poza EOG. Google Ireland Limited może przekazywać dane do Google LLC w Stanach Zjednoczonych. Podstawą jest decyzja wykonawcza Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony (EU–US Data Privacy Framework), a uzupełniająco standardowe klauzule umowne (art. 46 RODO). Google LLC figuruje na liście podmiotów certyfikowanych w ramach DPF.

Okres przechowywania. Dane zdarzeń w Google Analytics przechowujemy przez 14 miesięcy, po czym są automatycznie usuwane. Ciasteczka analityczne (_ga, _ga_*) wygasają po 2 latach od ostatniej wizyty.

§9. Bezpieczeństwo

KS-CYBER stosuje następujące środki techniczne i organizacyjne ochrony danych:

• Szyfrowanie transmisji danych (TLS 1.2+)
• Szyfrowanie haseł algorytmem Argon2id (z fallbackiem PBKDF2-SHA256)
• Uwierzytelnianie wieloskładnikowe (TOTP, FIDO2/WebAuthn)
• Kontrola dostępu do bazy danych (AWS RDS, sieć prywatna VPC)
• Automatyczne kopie zapasowe bazy danych (AWS automated backups)
• Logi audytowe dostępu do systemu
• Biała lista IP dla kont pracowników fizycznych
• Regularne przeglądy bezpieczeństwa kodu

§10. Zmiany polityki

KS-CYBER zastrzega sobie prawo do zmiany niniejszej Polityki Prywatności. O istotnych zmianach poinformujemy za pośrednictwem poczty elektronicznej na adres zarejestrowany w systemie lub poprzez komunikat widoczny po zalogowaniu.

Data ostatniej aktualizacji jest widoczna na początku dokumentu.

§11. Kontakt