Privacy and Cookie Notice

Version dated 8 September 2026

Contents

Who is responsible for your information?
What information do we receive, and from where?
Why we use data
Training, certificates, and community
Who can receive your information?
Newsletter and separate STORDIS marketing
How long we keep information
Cookies and similar technologies
Your rights and changes to this notice

1. Who is responsible for your information?

ROUTE2OPEN sp. z o.o., ul. Austriacka 4, 64-100 Leszno, Poland, NIP 7831846387, KRS 0000932849 (“R2O”, “we”), is the controller of the personal data it uses for its website, learning platform, training services, and community.

Contact us at info@route2open.com or write to our address above. This notice explains our processing under the EU General Data Protection Regulation (EU) 2016/679 (GDPR); reading it does not constitute general consent to process your data or marketing consent. It covers route2open.com, our learning platform, purchases, courses, bootcamps, materials, and communications. The provisions about the planned Discourse community apply once it becomes available.

2. What information do we receive, and from where?

We receive information when you create an account, order training, request materials, contact us or participate in courses and discussions: your name, email, account details, company, billing information, correspondence and requests, course allocations, access records, progress, quiz answers/results, and certificate records.

If your employer or a reseller purchases training for you, they may give us your name, email, and course allocation. We use these to arrange your access and contact you about the service. We identify the source and explain how we use the data at first contact, no later than one month after receiving it, or before disclosing it to another recipient if that happens sooner. We do not routinely send employers your learning progress or exam results.

We receive payment confirmations and transaction, refund, or dispute details from payment providers. Our systems also receive technical information such as IP addresses, device and browser information, access times, access logs, and security logs. If you choose Google sign-in, Google supplies the identity and profile information shown in its authorisation screen, particularly your email address and account identifier and, depending on the configuration, your display name, full name, or profile picture. We use these to create or recognise your account and enable sign-in. Removing the connection in Google does not, by itself, delete your R2O account.

Forms identify required information. Providing data necessary to enter into and perform the agreement is a condition of fulfilling an order or providing an account. Data required by tax or accounting law is mandatory to the extent specified by that law. Without other data needed for a specific purpose, such as verifying student eligibility, we may be unable to provide the relevant benefit. Additional information and marketing consent are optional. Marketing is not required for purchases, accounts, or free materials.

3. Why we use data

Purpose	Data and legal basis
Provide accounts, courses, bootcamps, included labs and requested downloads	Contact and account details, access records, progress, and assessment results: performance of our agreement with you, including a free account agreement, or steps you request before an agreement (Article 6(1)(b) GDPR).
Arrange company or reseller bookings	Participant and contact person details and business correspondence: our legitimate interests in delivering the purchased training and administering the business relationship (Article 6(1)(f) GDPR); performance of your subsequent individual account/service agreement where applicable (Article 6(1)(b) GDPR).
Process orders, payments, cancellations, complaints, and refunds; tax compliance and accounting	Order, payment and request information: performance of the agreement (Article 6(1)(b) GDPR). Billing and statutory records: compliance with tax, accounting, and other applicable legal duties (Article 6(1)(c) GDPR).
Verify student eligibility and issue certificates	Necessary evidence, assessment, and credential records: performance of the requested programme or certificate service (Article 6(1)(b) GDPR). Optional public certificate display: your consent (Article 6(1)(a) GDPR).
Operate the community and handle questions	Profile, posts, messages, and support correspondence: performance of the community or support service you request (Article 6(1)(b) GDPR). Moderation and other enquiries: our legitimate interests in a safe service and effective communication (Article 6(1)(f) GDPR).
Protect services and resolve disputes	Access logs and necessary documents, correspondence, or transaction evidence: our legitimate interests in security, preventing misuse and establishing, exercising, or defending claims (Article 6(1)(f) GDPR); legal duties where applicable (Article 6(1)(c) GDPR).
Send optional marketing or publish an agreed testimonial	Email preferences and consent records, or the testimonial and agreed attribution: your consent (Article 6(1)(a) GDPR). Electronic marketing also requires the permission described in section 6.
Use optional cookies and similar technologies	Device and activity information within the scope explained before you choose: your consent (Article 6(1)(a) GDPR). Necessary technical processing supports the requested service or our legitimate interest in security, under Article 6(1)(b) or (f) GDPR, as appropriate.

We send service messages, such as access instructions, password resets, scheduled training reminders, and material service changes, independently of marketing subscriptions.

4. Training, certificates, and community

Training. We do not record bootcamps. Your name or username, voice and contributions can be available to the trainer and other participants. Meeting messages and attendance information may remain after the session according to the meeting settings. Do not share unnecessary personal data or confidential third-party information in exercises or labs.

Quizzes may be marked automatically against the course’s answers and pass requirements; the result may determine whether a certificate is awarded. Contact us if you need a person to review a disputed result. We do not use these results to make employment, lending, or comparable decisions about you.

Student eligibility. Preferably use an institutional email address. If additional evidence is needed, provide only your name, institution, and the validity period of your current student status; cover unrelated identification numbers, date of birth and other unnecessary details. We delete document images after verification as described below.

Certificates. If you choose to make a certificate verifiable through a public link, the public record may include the holder’s name, course, credential reference, issue/expiry information, and validity status. Anyone with the link can view it, including after you share it on LinkedIn. You may withdraw public display consent by contacting us; this does not, by itself, invalidate the certificate.

Community. We plan to provide a free community using Discourse software running on infrastructure managed by us or our hosting provider. These provisions apply once the community becomes available. Your username, optional profile information, posts, and uploads will be visible to the audience permitted to access the relevant part of the community. Private messages will be available to their participants; authorised administrators may access them when necessary for technical support, investigating abuse or legal duties. Activity notifications can be managed through the available account settings. Do not post other people’s personal information without a lawful reason.

If we enable shared sign-in for the learning platform and community, we will link accounts using a user identifier and the information needed for sign-in and access, such as email address, username, and course-group permissions. The connection supports R2O services and does not constitute marketing consent.

We do not upload customer data into the generative AI tools used to produce course voices, avatars, or materials.

5. Who can receive your information?

Access is limited to people and organisations that need information for the purposes described here:

Training and technical staff: R2O staff, authorised collaborators and selected STORDIS GmbH staff who help deliver training, support customers, or administer systems.
Service providers: website, lab, and email hosting, maintenance, and backup providers; Zoho CRM; Microsoft services for Teams and business administration; accounting providers and relevant invoicing systems, including Microsoft Navision and retained historical Fakturownia records.
Payments, video and sign-in: PayPal and Stripe handle payments; Vimeo supplies embedded video playback and receives technical information when its player connects; Google supplies the sign-in service if you choose it. These providers may process certain data as separate controllers for their own purposes under their privacy notices as well as providing services to us. Their roles depend on the activity; they are not all simply our processors.
Other recipients: your chosen sign-in provider, recipients of your community contributions or public credentials, and competent authorities or professional advisers where a legal duty or necessary handling of a matter requires disclosure and there is an appropriate legal basis.

We use WordPress and Tutor LMS to operate our learning platform and manage accounts. Installing software, including self-hosted Discourse, does not by itself mean its developer receives your personal data. Providers processing data on our behalf act within the scope of that engagement. Authorised people may access data to the extent needed for their work.

Our relationship with STORDIS GmbH

STORDIS GmbH, Germany, is a separate group company. The Zoho CRM account used for R2O is contracted by STORDIS GmbH. Selected authorised personnel have access for technical support, administration, and training delivery. This support access does not give STORDIS permission to send its own marketing to all R2O contacts.

Where STORDIS resells our training, it is responsible for its sales relationship; R2O provides the learner account and training. Each company is responsible for the processing it determines for its own activities. Any separate marketing choice is described in section 6.

International processing

Some providers operate internationally, including in the United States and India. European hosting alone does not exclude overseas access. Transfers outside the European Economic Area (EEA) require an appropriate basis: an applicable European Commission adequacy decision or appropriate safeguards, such as standard contractual clauses with additional safeguards where necessary. You can ask us for the relevant recipient, country and a copy of the safeguards or information about where they are available.

Provider information: Zoho, Microsoft, PayPal, Stripe, Vimeo, Google.

We send R2O newsletters and promotional emails only if you choose to receive them. Buying training, downloading a resource, creating an account, using Google sign-in, or accepting our service terms does not itself subscribe you. Delivery of requested materials is separate from consent to future promotional messages.

If we offer a separate STORDIS marketing choice and you give that consent, we may pass your email address and the evidence and scope of your choice to STORDIS GmbH, Ruebteile 24, 72574 Bad Urach, Germany, contact: info@stordis.com, so it can email you offers within that choice. STORDIS supplies its own privacy information before you consent. We do not transfer your full learning history or student verification documents for this purpose.

Conversely, we use contact details received from STORDIS GmbH for R2O marketing only where your permission specifically covers R2O and that sharing. Existing consents concerning one company are not automatically extended to other group companies.

Each marketing email includes an unsubscribe option. You can also contact the sender directly. Withdrawing marketing permission does not cancel your course or account. Consent withdrawal affects future processing, not the lawfulness of processing before withdrawal. Public use of your testimonial with attribution is limited to the scope separately agreed with you.

7. How long we keep information

We separate operational data from records that must remain for another purpose. A legal retention duty does not justify keeping your entire learning profile indefinitely.

Information	Retention period or rule
Account, learning and access information	While necessary for your active account and service entitlements. After these end, only records still needed for certificates, legal duties or claims remain. Inactivity or a failed email delivery does not by itself cancel existing access rights.
Certificate record	The minimum record needed while the credential and its verification remain available, which can outlast course access and can be indefinite for a certificate with no expiry. Public display ends when you withdraw the relevant consent.
Student document images	Delete without undue delay after verification, and no later than 30 days after verification is completed. Retain only the necessary eligibility result, date and programme allocation while administering the programme, and afterwards only to the extent needed for a specific obligation or claim.
Enquiries that do not lead to a contract	Up to 12 months after the last meaningful contact about the matter, unless a specific dispute, legal duty or establishing, exercising, or defending claims requires relevant evidence longer.
Routine technical logs	Up to 90 days; relevant entries relating to an incident or claim may be isolated and kept longer, to the extent necessary, until the matter is resolved and the applicable claim limitation periods expire.
Orders, invoices, and dispute evidence	For applicable tax, accounting, and claim limitation periods. Polish tax records normally require five years from the end of the year in which tax payment was due; OSS records require ten years from the transaction year-end where that scheme applies. Suspension or interruption of the applicable period may extend relevant retention.
Marketing information	Until withdrawal, the subscription ends or its purpose ceases. Afterwards, only minimal consent evidence and an unsubscribe/suppression record remain where needed to demonstrate compliance, honour your choice, or address claims.

We retain data needed for claims to the extent necessary until the applicable limitation period expires or, where proceedings are ongoing, until they are finally concluded and settled.

Deletion requests also cover a linked community account and personal information within posts, not only the username. Non-identifying discussion text may remain to preserve conversations. Replacing a username alone is not sufficient if the post’s content still identifies the person.

Deleted data may remain temporarily in protected backups until overwritten through the applicable backup cycle. It is not used for ordinary business purposes. If a backup is restored, we apply the deletions already made. You can ask us about the backup period applying to your information.

8. Cookies and similar technologies

Cookies and local storage help a website remember information in your browser. Necessary technologies support functions you request, such as login, checkout, security and remembering your cookie choice. They do not require consent only to the extent covered by the statutory exception for transmitting a communication or providing a service expressly requested by the user.

Storing information on, or gaining access to information already stored on, your device is additionally governed by Article 399 of the Polish Electronic Communications Law of 12 July 2024 (Prawo komunikacji elektronicznej), which replaced Article 173 of the former Telecommunications Law of 16 July 2004 (Prawo telekomunikacyjne) and continues to implement the consent requirement of the ePrivacy Directive referred to above.

Optional analytics, advertising, and other non-essential technologies require your prior choice. You can accept, reject, or select individual purposes, and change or withdraw your choice through the mechanism provided for those technologies. Before you choose, we provide information about their actual purposes, providers, and operating periods. Continuing to browse is not consent. Rejecting optional tracking must not prevent access to a course you are entitled to use.

Embedded services such as Vimeo may receive your IP address and technical information when loaded, regardless of whether a cookie is stored. Necessary video delivery is distinguished from optional tracking; a privacy setting does not by itself mean that no information reaches the provider.

Browser settings can delete or block cookies but blocking necessary cookies may affect login or checkout. Choices are generally browser/device specific. External links, including social media links, take you to services with their own privacy information; following a link does not subscribe you to our marketing.

Withdrawing cookie consent is as easy as giving it: use the preference/consent management link available on every page to change or withdraw your choice at any time.

9. Your rights and changes to this notice

To the extent provided by the GDPR, you may request access and a copy, correction, erasure, restriction, and portability of your data. You may withdraw consent at any time. Where we rely on legitimate interests, you can object for reasons relating to your situation. You can object to direct marketing at any time, without giving reasons.

Email info@route2open.com. We may ask for proportionate information to confirm your identity. We normally respond within one month of receiving your request; if a lawful extension is necessary, we explain it within that month. Some records must remain for legal duties or claims even if you close an account.

You may complain to the President of Poland’s Personal Data Protection Office (Prezes UODO), ul. Stanisława Moniuszki 1A, 00-014 Warsaw, uodo.gov.pl, or another competent supervisory authority.

We update this notice when our actual practices or legal duties change. We inform affected users of material changes as required, including before using data for a new purpose. An update does not create new marketing consent or change the terms of an earlier purchase.

Polityka prywatności i plików cookies

Wersja z dnia 8 września 2026 r.

Pobierz wersję PDF

Spis treści

Kto odpowiada za Twoje dane?
Jakie informacje otrzymujemy i skąd?
W jakich celach wykorzystujemy dane
Szkolenia, certyfikaty i społeczność
Kto może otrzymywać Twoje dane?
Newsletter i odrębny marketing STORDIS
Jak długo przechowujemy informacje
Pliki cookies i podobne technologie
Twoje prawa i zmiany niniejszej polityki

1. Kto odpowiada za Twoje dane?

ROUTE2OPEN sp. z o.o., ul. Austriacka 4, 64-100 Leszno, Polska, NIP 7831846387, KRS 0000932849 („R2O”, „my”), jest administratorem danych osobowych, które wykorzystuje na potrzeby swojej strony internetowej, platformy edukacyjnej, usług szkoleniowych i społeczności.

Skontaktuj się z nami pod adresem info@route2open.com lub napisz na nasz adres podany powyżej. Niniejsza polityka wyjaśnia, w jaki sposób przetwarzamy dane na podstawie unijnego ogólnego rozporządzenia o ochronie danych (UE) 2016/679 (RODO); zapoznanie się z nią nie stanowi ogólnej zgody na przetwarzanie Twoich danych ani zgody marketingowej. Obejmuje ona route2open.com, naszą platformę edukacyjną, zakupy, kursy, bootcampy, materiały i komunikację. Postanowienia dotyczące planowanej społeczności Discourse mają zastosowanie od chwili jej udostępnienia.

2. Jakie informacje otrzymujemy i skąd?

Otrzymujemy informacje, gdy zakładasz konto, zamawiasz szkolenie, prosisz o materiały, kontaktujesz się z nami lub uczestniczysz w kursach i dyskusjach: imię i nazwisko, adres e-mail, dane konta, dane firmy, informacje rozliczeniowe, korespondencję i zgłoszenia, informacje o przydzielonych kursach, zapisy dotyczące dostępu, postępy w nauce, odpowiedzi na pytania quizów i ich wyniki oraz dane dotyczące certyfikatów.

Jeżeli Twój pracodawca lub odsprzedawca kupuje dla Ciebie szkolenie, może przekazać nam Twoje imię i nazwisko, adres e-mail oraz informację o przydzielonym kursie. Wykorzystujemy te dane, aby zapewnić Ci dostęp i kontaktować się z Tobą w sprawach usługi. Wskazujemy źródło danych i wyjaśniamy, jak je wykorzystujemy, przy pierwszym kontakcie, nie później niż w ciągu miesiąca od ich otrzymania, albo przed ujawnieniem ich innemu odbiorcy, jeżeli nastąpi to wcześniej. Nie przekazujemy rutynowo pracodawcom informacji o Twoich postępach w nauce ani wynikach egzaminów.

Od dostawców usług płatniczych otrzymujemy potwierdzenia płatności oraz szczegóły transakcji, zwrotów płatności lub sporów. Nasze systemy otrzymują również informacje techniczne, takie jak adresy IP, informacje o urządzeniu i przeglądarce, daty i godziny dostępu, dzienniki dostępu i dzienniki bezpieczeństwa. Jeżeli wybierzesz logowanie przez Google, Google przekazuje dane identyfikacyjne i profilowe wskazane na ekranie autoryzacji, w szczególności Twój adres e-mail i identyfikator konta, a w zależności od konfiguracji także nazwę wyświetlaną, imię i nazwisko lub zdjęcie profilowe. Wykorzystujemy je do utworzenia lub rozpoznania Twojego konta oraz umożliwienia logowania. Usunięcie powiązania w Google samo w sobie nie usuwa Twojego konta R2O.

Formularze wskazują, które informacje są wymagane. Podanie danych niezbędnych do zawarcia i wykonania umowy jest warunkiem realizacji zamówienia lub udostępnienia konta. Podanie danych wymaganych przez przepisy podatkowe lub dotyczące rachunkowości jest obowiązkowe w zakresie określonym w tych przepisach. Bez innych danych potrzebnych do konkretnego celu, np. weryfikacji uprawnień ucznia lub studenta, możemy nie być w stanie zapewnić odpowiedniej korzyści. Podanie dodatkowych informacji i wyrażenie zgody marketingowej są dobrowolne. Zgoda na marketing nie jest wymagana do dokonania zakupu, założenia konta ani otrzymania bezpłatnych materiałów.

3. W jakich celach wykorzystujemy dane

Cel	Dane i podstawa prawna
Udostępnianie kont, kursów, bootcampów, laboratoriów objętych ofertą oraz zamówionych materiałów do pobrania	Dane kontaktowe i dane konta, zapisy dotyczące dostępu, postępy w nauce oraz wyniki oceniania: wykonanie zawartej z Tobą umowy, w tym umowy o bezpłatne konto, lub podjęcie działań na Twoje żądanie przed zawarciem umowy (art. 6 ust. 1 lit. b RODO).
Organizacja rezerwacji dokonywanych przez firmy lub odsprzedawców	Dane uczestników i osób kontaktowych oraz korespondencja biznesowa: nasze prawnie uzasadnione interesy polegające na realizacji zakupionego szkolenia i zarządzaniu relacją biznesową (art. 6 ust. 1 lit. f RODO); wykonanie zawartej następnie z Tobą indywidualnej umowy o konto lub usługę, gdy ma to zastosowanie (art. 6 ust. 1 lit. b RODO).
Obsługa zamówień, płatności, rezygnacji, reklamacji i zwrotów płatności; wykonywanie obowiązków podatkowych i prowadzenie rachunkowości	Informacje dotyczące zamówień, płatności i zgłoszeń: wykonanie umowy (art. 6 ust. 1 lit. b RODO). Dane rozliczeniowe i dokumentacja wymagana przepisami: wypełnianie obowiązków podatkowych, rachunkowych oraz innych mających zastosowanie obowiązków prawnych (art. 6 ust. 1 lit. c RODO).
Weryfikacja uprawnień uczniów i studentów oraz wystawianie certyfikatów	Niezbędne informacje potwierdzające uprawnienia oraz dane dotyczące ocen i certyfikatów: realizacja wybranego programu lub zamówionej usługi certyfikacji (art. 6 ust. 1 lit. b RODO). Opcjonalne publiczne udostępnianie certyfikatu: Twoja zgoda (art. 6 ust. 1 lit. a RODO).
Prowadzenie społeczności i obsługa zapytań	Profil, wpisy, wiadomości i korespondencja dotycząca wsparcia: realizacja usługi społecznościowej lub wsparcia, o którą prosisz (art. 6 ust. 1 lit. b RODO). Moderacja i inne zapytania: nasze prawnie uzasadnione interesy polegające na zapewnianiu bezpiecznej usługi i skutecznej komunikacji (art. 6 ust. 1 lit. f RODO).
Ochrona usług i rozstrzyganie sporów	Dzienniki dostępu oraz niezbędne dokumenty, korespondencja lub dowody transakcji: nasze prawnie uzasadnione interesy związane z bezpieczeństwem, zapobieganiem nadużyciom oraz ustalaniem, dochodzeniem lub obroną roszczeń (art. 6 ust. 1 lit. f RODO); obowiązki prawne, gdy mają zastosowanie (art. 6 ust. 1 lit. c RODO).
Wysyłanie opcjonalnych treści marketingowych lub publikowanie uzgodnionej opinii	Preferencje dotyczące wiadomości e-mail i zapisy dotyczące zgód albo opinia i uzgodnione oznaczenie jej autora: Twoja zgoda (art. 6 ust. 1 lit. a RODO). Marketing elektroniczny wymaga również zgody opisanej w punkcie 6.
Stosowanie opcjonalnych plików cookies i podobnych technologii	Informacje o urządzeniu i aktywności w zakresie wyjaśnionym przed dokonaniem wyboru: Twoja zgoda (art. 6 ust. 1 lit. a RODO). Niezbędne przetwarzanie techniczne służy realizacji zamówionej usługi lub naszemu prawnie uzasadnionemu interesowi związanemu z bezpieczeństwem, odpowiednio na podstawie art. 6 ust. 1 lit. b lub f RODO.

Wiadomości związane z usługą, takie jak instrukcje dostępu, wiadomości dotyczące resetowania hasła, przypomnienia o zaplanowanych szkoleniach i informacje o istotnych zmianach usługi, wysyłamy niezależnie od subskrypcji marketingowych.

4. Szkolenia, certyfikaty i społeczność

Szkolenia. Nie nagrywamy bootcampów. Twoje imię i nazwisko lub nazwa użytkownika, głos oraz wypowiedzi i udostępniane treści mogą być dostępne dla trenera i innych uczestników. Wiadomości ze spotkania i informacje o obecności mogą pozostać dostępne po zakończeniu zajęć, zgodnie z ustawieniami spotkania. Nie udostępniaj zbędnych danych osobowych ani poufnych informacji osób trzecich podczas ćwiczeń lub w laboratoriach.

Quizy mogą być oceniane automatycznie na podstawie odpowiedzi i wymagań zaliczenia określonych dla kursu; wynik może decydować o przyznaniu certyfikatu. Skontaktuj się z nami, jeżeli chcesz, aby sporny wynik został zweryfikowany przez człowieka. Nie wykorzystujemy tych wyników do podejmowania dotyczących Ciebie decyzji o zatrudnieniu, udzieleniu kredytu ani decyzji o porównywalnym charakterze.

Uprawnienia uczniów i studentów. Najlepiej użyj adresu e-mail szkoły lub uczelni. Jeżeli potrzebne jest dodatkowe potwierdzenie, podaj jedynie swoje imię i nazwisko, nazwę placówki oraz okres ważności aktualnego statusu ucznia lub studenta; zasłoń niezwiązane z tym celem numery identyfikacyjne, datę urodzenia i inne zbędne dane. Obrazy dokumentów usuwamy po weryfikacji zgodnie z opisem poniżej.

Certyfikaty. Jeżeli zdecydujesz się umożliwić weryfikację certyfikatu przez publiczny link, publicznie dostępny wpis może zawierać imię i nazwisko posiadacza, kurs, identyfikator certyfikatu, informacje o dacie wydania i wygaśnięcia oraz status ważności. Każdy, kto ma link, może go wyświetlić, również po udostępnieniu go przez Ciebie na LinkedIn. Możesz wycofać zgodę na publiczne udostępnianie, kontaktując się z nami; samo wycofanie zgody nie unieważnia certyfikatu.

Społeczność. Planujemy udostępnić bezpłatną społeczność korzystającą z oprogramowania Discourse działającego na infrastrukturze zarządzanej przez nas lub naszego dostawcę hostingu. Postanowienia te mają zastosowanie od chwili udostępnienia społeczności. Twoja nazwa użytkownika, opcjonalne informacje profilowe, wpisy i przesłane pliki będą widoczne dla osób uprawnionych do dostępu do odpowiedniej części społeczności. Wiadomości prywatne będą dostępne dla uczestników danej korespondencji; upoważnieni administratorzy mogą mieć do nich dostęp, gdy jest to niezbędne do zapewnienia wsparcia technicznego, zbadania nadużyć lub wykonania obowiązków prawnych. Powiadomieniami o aktywności można zarządzać w dostępnych ustawieniach konta. Nie publikuj danych osobowych innych osób bez zgodnej z prawem podstawy.

Jeżeli uruchomimy wspólne logowanie do platformy edukacyjnej i społeczności, połączymy konta za pomocą identyfikatora użytkownika oraz informacji potrzebnych do logowania i dostępu, takich jak adres e-mail, nazwa użytkownika i uprawnienia dostępu do grup kursowych. Powiązanie to służy świadczeniu usług R2O i nie stanowi zgody marketingowej.

Nie przesyłamy danych klientów do narzędzi generatywnej sztucznej inteligencji używanych do tworzenia głosów, awatarów lub materiałów wykorzystywanych w kursach.

5. Kto może otrzymywać Twoje dane?

Dostęp jest ograniczony do osób i organizacji, które potrzebują informacji do celów opisanych w niniejszej polityce:

Personel szkoleniowy i techniczny: pracownicy R2O, upoważnieni współpracownicy oraz wybrani pracownicy STORDIS GmbH, którzy pomagają w prowadzeniu szkoleń, wspierają klientów lub administrują systemami.
Dostawcy usług: dostawcy hostingu stron internetowych, laboratoriów i poczty elektronicznej oraz usług utrzymania i tworzenia kopii zapasowych; Zoho CRM; usługi Microsoft obejmujące Teams i administrację firmową; dostawcy usług księgowych oraz odpowiednie systemy fakturowania, w tym Microsoft Navision i zachowana historyczna dokumentacja z Fakturowni.
Płatności, wideo i logowanie: PayPal i Stripe obsługują płatności; Vimeo zapewnia odtwarzanie osadzonych filmów i otrzymuje informacje techniczne, gdy jego odtwarzacz nawiązuje połączenie; Google zapewnia usługę logowania, jeżeli ją wybierzesz. Oprócz świadczenia nam usług dostawcy ci mogą przetwarzać niektóre dane jako odrębni administratorzy do własnych celów, zgodnie ze swoimi informacjami o prywatności. Ich role zależą od rodzaju działania; nie wszyscy są wyłącznie naszymi podmiotami przetwarzającymi.
Inni odbiorcy: wybrany przez Ciebie dostawca logowania, odbiorcy Twoich treści w społeczności lub publicznie udostępnianych certyfikatów, a także właściwe organy lub profesjonalni doradcy, jeżeli obowiązek prawny lub niezbędne prowadzenie danej sprawy wymaga ujawnienia danych i istnieje odpowiednia podstawa prawna.

Korzystamy z WordPress i Tutor LMS do prowadzenia platformy edukacyjnej i zarządzania kontami. Samo zainstalowanie oprogramowania, w tym samodzielnie hostowanego Discourse, nie oznacza, że jego twórca otrzymuje Twoje dane osobowe. Dostawcy przetwarzający dane w naszym imieniu działają w zakresie zleconych im zadań. Upoważnione osoby mogą uzyskiwać dostęp do danych w zakresie niezbędnym do wykonywania swojej pracy.

Nasze relacje ze STORDIS GmbH

STORDIS GmbH z siedzibą w Niemczech jest odrębną spółką należącą do grupy. Stroną umowy dotyczącej konta Zoho CRM używanego na potrzeby R2O jest STORDIS GmbH. Dostęp mają wybrane upoważnione osoby w celu zapewniania wsparcia technicznego, administracji i realizacji szkoleń. Dostęp na potrzeby takiego wsparcia nie upoważnia STORDIS do kierowania własnych treści marketingowych do wszystkich kontaktów R2O.

Gdy STORDIS odsprzedaje nasze szkolenia, odpowiada za swoją relację sprzedażową z klientem; R2O zapewnia konto uczestnika i szkolenie. Każda spółka odpowiada za przetwarzanie danych, o którym decyduje w ramach własnej działalności. Odrębny wybór dotyczący marketingu opisano w punkcie 6.

Przetwarzanie międzynarodowe

Niektórzy dostawcy działają na skalę międzynarodową, w tym w Stanach Zjednoczonych i Indiach. Sam hosting w Europie nie wyklucza dostępu spoza Europy. Przekazywanie danych poza Europejski Obszar Gospodarczy (EOG) wymaga odpowiedniej podstawy: mającej zastosowanie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony albo odpowiednich zabezpieczeń, takich jak standardowe klauzule umowne wraz z dodatkowymi zabezpieczeniami, gdy są one niezbędne. Możesz poprosić nas o wskazanie danego odbiorcy i państwa oraz o kopię zabezpieczeń lub informację, gdzie są one dostępne.

Informacje dostawców: Zoho, Microsoft, PayPal, Stripe, Vimeo, Google.

Wysyłamy newslettery R2O i promocyjne wiadomości e-mail wyłącznie wtedy, gdy zdecydujesz się je otrzymywać. Sam zakup szkolenia, pobranie materiału, utworzenie konta, skorzystanie z logowania przez Google lub zaakceptowanie naszego regulaminu świadczenia usług nie powoduje zapisu na newsletter. Dostarczenie zamówionych materiałów jest niezależne od zgody na przyszłe wiadomości promocyjne.

Jeżeli udostępnimy odrębny wybór dotyczący marketingu STORDIS i wyrazisz taką zgodę, możemy przekazać Twój adres e-mail oraz potwierdzenie i zakres dokonanego wyboru spółce STORDIS GmbH, Ruebteile 24, 72574 Bad Urach, Niemcy, kontakt: info@stordis.com, aby mogła przesyłać Ci e-mailem oferty w zakresie tego wyboru. STORDIS przekazuje własne informacje o prywatności przed udzieleniem przez Ciebie zgody. W tym celu nie przekazujemy pełnej historii Twojej nauki ani dokumentów służących weryfikacji statusu ucznia lub studenta.

Analogicznie wykorzystujemy dane kontaktowe otrzymane od STORDIS GmbH do marketingu R2O wyłącznie wtedy, gdy Twoja zgoda wyraźnie obejmuje R2O i takie udostępnienie danych. Dotychczasowe zgody dotyczące jednej spółki nie są automatycznie rozszerzane na inne spółki z grupy.

Każda marketingowa wiadomość e-mail zawiera możliwość rezygnacji. Możesz również skontaktować się bezpośrednio z nadawcą. Wycofanie zgody marketingowej nie powoduje anulowania kursu ani zamknięcia konta. Wycofanie zgody dotyczy przyszłego przetwarzania i nie wpływa na zgodność z prawem przetwarzania przed jej wycofaniem. Publiczne wykorzystywanie Twojej opinii ze wskazaniem autorstwa jest ograniczone do zakresu odrębnie z Tobą uzgodnionego.

7. Jak długo przechowujemy informacje

Oddzielamy dane wykorzystywane w bieżącej działalności od dokumentacji, która musi pozostać przechowywana w innym celu. Prawny obowiązek przechowywania nie uzasadnia bezterminowego zachowywania całego Twojego profilu nauki.

Informacje	Okres lub zasada przechowywania
Informacje dotyczące konta, nauki i dostępu	Przez okres, w którym są niezbędne do obsługi Twojego aktywnego konta i uprawnień do usług. Po ich zakończeniu pozostaje wyłącznie dokumentacja nadal potrzebna na potrzeby certyfikatów, obowiązków prawnych lub roszczeń. Sama nieaktywność lub niedoręczenie wiadomości e-mail nie powoduje utraty istniejących praw dostępu.
Dane dotyczące certyfikatu	Minimalny zakres danych niezbędny przez okres, w którym certyfikat i możliwość jego weryfikacji pozostają dostępne; okres ten może być dłuższy niż dostęp do kursu, a w przypadku certyfikatu bez terminu ważności może być nieoznaczony. Publiczne wyświetlanie kończy się po wycofaniu przez Ciebie odpowiedniej zgody.
Obrazy dokumentów uczniów i studentów	Usuwamy je bez zbędnej zwłoki po weryfikacji, nie później niż 30 dni po jej zakończeniu. Przez okres obsługi programu zachowujemy wyłącznie niezbędny wynik weryfikacji uprawnienia, datę i przypisanie do programu, a następnie jedynie w zakresie potrzebnym ze względu na konkretny obowiązek lub roszczenie.
Zapytania, które nie prowadzą do zawarcia umowy	Do 12 miesięcy od ostatniego istotnego kontaktu w danej sprawie, chyba że konkretny spór, obowiązek prawny lub ustalenie, dochodzenie bądź obrona roszczeń wymaga dłuższego przechowywania odpowiednich dowodów.
Rutynowe dzienniki techniczne	Do 90 dni; odpowiednie wpisy dotyczące incydentu lub roszczenia mogą zostać wyodrębnione i przechowywane dłużej, w niezbędnym zakresie, do czasu rozwiązania sprawy i upływu właściwych terminów przedawnienia roszczeń.
Zamówienia, faktury i dowody dotyczące sporów	Przez właściwe okresy wynikające z przepisów podatkowych i rachunkowych oraz terminy przedawnienia roszczeń. Polską dokumentację podatkową należy zwykle przechowywać przez pięć lat od końca roku, w którym upłynął termin płatności podatku; dokumentację OSS — przez dziesięć lat od końca roku, w którym dokonano transakcji, jeżeli ta procedura ma zastosowanie. Zawieszenie lub przerwanie biegu właściwego terminu może wydłużyć odpowiedni okres przechowywania.
Informacje marketingowe	Do wycofania zgody, zakończenia subskrypcji lub ustania jej celu. Następnie pozostają wyłącznie minimalne dowody zgody oraz zapis rezygnacji lub wyłączenia z wysyłki, gdy jest to potrzebne do wykazania zgodności z przepisami, uszanowania Twojego wyboru lub w związku z roszczeniami.

Dane potrzebne w związku z roszczeniami przechowujemy w niezbędnym zakresie do upływu właściwego terminu przedawnienia, a jeżeli postępowanie jest w toku — do jego ostatecznego zakończenia i rozliczenia.

Żądania usunięcia danych obejmują również powiązane konto w społeczności oraz dane osobowe zawarte we wpisach, a nie tylko nazwę użytkownika. Treść dyskusji, która nie pozwala na identyfikację osoby, może pozostać w celu zachowania ciągłości rozmów. Sama zamiana nazwy użytkownika nie wystarcza, jeżeli treść wpisu nadal pozwala zidentyfikować tę osobę.

Usunięte dane mogą czasowo pozostawać w zabezpieczonych kopiach zapasowych do chwili ich nadpisania w ramach stosowanego cyklu tworzenia kopii. Nie są wykorzystywane do zwykłych celów działalności. Jeżeli kopia zapasowa zostanie przywrócona, ponownie stosujemy dokonane wcześniej usunięcia danych. Możesz zapytać nas o okres przechowywania kopii zapasowych dotyczący Twoich informacji.

8. Pliki cookies i podobne technologie

Pliki cookies i pamięć lokalna (local storage) pomagają stronie internetowej zapamiętywać informacje w Twojej przeglądarce. Niezbędne technologie obsługują funkcje, o które prosisz, takie jak logowanie, finalizowanie zakupu, bezpieczeństwo i zapamiętywanie Twojego wyboru dotyczącego plików cookies. Nie wymagają zgody wyłącznie w zakresie objętym ustawowym wyjątkiem dotyczącym transmisji komunikatu lub świadczenia usługi wyraźnie żądanej przez użytkownika.

Przechowywanie informacji na Twoim urządzeniu lub uzyskiwanie dostępu do informacji już na nim zapisanych podlega dodatkowo art. 399 polskiej ustawy z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej, który zastąpił art. 173 wcześniejszej ustawy z dnia 16 lipca 2004 r. — Prawo telekomunikacyjne i nadal wdraża wymóg zgody wynikający z dyrektywy o prywatności i łączności elektronicznej (ePrivacy).

Opcjonalne technologie analityczne, reklamowe i inne technologie, które nie są niezbędne, wymagają uprzedniego dokonania przez Ciebie wyboru. Możesz je zaakceptować, odrzucić lub wybrać poszczególne cele, a także zmienić lub wycofać swój wybór za pomocą mechanizmu udostępnionego dla tych technologii. Przed dokonaniem wyboru przekazujemy informacje o ich rzeczywistych celach, dostawcach i okresach działania. Dalsze przeglądanie strony nie stanowi zgody. Odrzucenie opcjonalnego śledzenia nie może uniemożliwiać dostępu do kursu, do którego masz uprawnienie.

Osadzone usługi, takie jak Vimeo, mogą otrzymywać Twój adres IP i informacje techniczne po ich załadowaniu, niezależnie od tego, czy zapisywany jest plik cookie. Odróżniamy niezbędne dostarczanie materiału wideo od opcjonalnego śledzenia; samo ustawienie prywatności nie oznacza, że do dostawcy nie trafiają żadne informacje.

Ustawienia przeglądarki umożliwiają usuwanie lub blokowanie plików cookies, ale zablokowanie niezbędnych plików cookies może wpływać na logowanie lub finalizowanie zakupu. Wybory zwykle dotyczą konkretnej przeglądarki lub urządzenia. Linki zewnętrzne, w tym linki do mediów społecznościowych, prowadzą do usług posiadających własne informacje o prywatności; przejście przez link nie oznacza zapisu na nasz marketing.

Wycofanie zgody na pliki cookies jest tak samo łatwe jak jej udzielenie: skorzystaj z dostępnego na każdej stronie linku do zarządzania preferencjami lub zgodami, aby w dowolnym momencie zmienić lub wycofać swój wybór.

9. Twoje prawa i zmiany niniejszej polityki

W zakresie przewidzianym w RODO możesz żądać dostępu do swoich danych i ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania oraz przenoszenia danych. Możesz w dowolnym momencie wycofać zgodę. Jeżeli opieramy przetwarzanie na prawnie uzasadnionych interesach, możesz wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją. Sprzeciw wobec marketingu bezpośredniego możesz wnieść w dowolnym momencie, bez podawania powodów.

Napisz na adres info@route2open.com. Możemy poprosić o informacje w proporcjonalnym zakresie w celu potwierdzenia Twojej tożsamości. Zwykle odpowiadamy w ciągu miesiąca od otrzymania żądania; jeżeli konieczne jest zgodne z prawem przedłużenie tego terminu, wyjaśniamy je w ciągu tego miesiąca. Niektóre dane muszą pozostać przechowywane ze względu na obowiązki prawne lub roszczenia, nawet jeżeli zamkniesz konto.

Możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (Prezesa UODO), ul. Stanisława Moniuszki 1A, 00-014 Warszawa, uodo.gov.pl, lub do innego właściwego organu nadzorczego.

Aktualizujemy niniejszą politykę, gdy zmieniają się nasze faktyczne praktyki lub obowiązki prawne. O istotnych zmianach informujemy użytkowników, których one dotyczą, zgodnie z wymaganiami, w tym przed wykorzystaniem danych w nowym celu. Aktualizacja nie stanowi nowej zgody marketingowej ani nie zmienia warunków wcześniejszego zakupu.