Warunki dla szkół (B2B) - przetwarzanie danych

Jak Wordrill przetwarza dane uczniów na zlecenie szkoły: role stron, streszczenie umowy powierzenia (DPA), podprocesorzy oraz cykl życia danych ucznia.

Streszczenie informacyjne. Wiążące są podpisane dokumenty: Warunki dla szkół, Umowa powierzenia (DPA) oraz Ocena skutków (DPIA).

1. Role stron - administrator i podmiot przetwarzający

W ramach Panelu Szkoły szkoła jest administratorem danych (Data Controller), a Wordrill jest podmiotem przetwarzającym (Data Processor) w rozumieniu RODO (Rozporządzenie (UE) 2016/679). Wordrill przetwarza dane osobowe uczniów wyłącznie na udokumentowane polecenie szkoły, w celu świadczenia usługi Panelu Szkoły.

Wordrill udostępnia jedno konto administratora szkoły na szkołę w ramach ręcznego onboardingu - nie ma samodzielnej rejestracji szkół. Wyznaczony Administrator Szkoły może nadawać rolę nauczyciela kolejnym pracownikom w ramach wykupionych miejsc, a nauczyciele zapraszają uczniów do klas kodem zaproszenia. Uczeń może należeć tylko do jednej szkoły naraz.

2. Streszczenie umowy powierzenia (DPA)

Współpracę reguluje Umowa powierzenia przetwarzania (DPA, zgodna z art. 28 RODO). Najważniejsze w skrócie:

Po co i jak długo: dane przetwarzamy tylko po to, by działał Panel Szkoły. Dopóki trwa umowa, dane są przechowywane - także w czasie wakacji i przerw, aby po powrocie wszystko czekało na uczniów. Dopiero gdy umowa się kończy, mamy 30 dni na wygaszenie, a potem usuwamy dane zgodnie z procedurą (sekcja 4).
Do czego używamy danych: logowanie, zapis podejść, wyników i postępów, wiadomości nauczyciel-uczeń, statystyki klasy, zgłaszanie ćwiczeń klasowych do moderacji oraz powiadomienia. Zbiorcze statystyki są zawsze anonimowe.
Jakie dane: dane identyfikujące (nazwa wyświetlana, e-mail, nazwa użytkownika, rola), dane logowania (zaszyfrowane hasło, kod TOTP, klucz passkey), dane nauki (podejścia, wyniki, biegłość, seria), treść wiadomości, dane techniczne (identyfikator urządzenia, adres IP, identyfikator sesji) oraz profil (język, awatar, poziom).
Bez danych wrażliwych: nie przetwarzamy danych szczególnej kategorii (art. 9 RODO) i mamy to wprost zakazane w umowie; pola tekstowe są porządkowane i filtrowane pod kątem wulgaryzmów.
Jak chronimy dane: szyfrowanie podczas przesyłania (TLS 1.2+, HSTS) i w spoczynku, ścisłe reguły dostępu do każdej tabeli z danymi osobowymi (domyślnie wszystko zablokowane), dwuetapowe logowanie z dodatkowym potwierdzeniem przy działaniach administracyjnych, niezmienialne logi, brak liczenia wyników po stronie urządzenia oraz oddzielenie danych poszczególnych szkół.
W razie naruszenia: powiadamiamy szkołę bez zbędnej zwłoki, najpóźniej w ciągu 72 godzin.
Przekazywanie za granicę: poza EOG wyłącznie na podstawie Standardowych Klauzul Umownych (decyzja (UE) 2021/914).
Prawa uczniów i pracowników: pomagamy szkole zrealizować żądania dostępu, poprawienia i usunięcia danych w ciągu 10 dni roboczych (eksport RODO i anonimizacja dla pojedynczej osoby oraz edytor danych w panelu administratora).

3. Lista podprocesorów

Wordrill korzysta z następujących podprocesorów, każdy związany warunkami przetwarzania spójnymi z DPA (cel - region):

Supabase - baza danych, uwierzytelnianie, funkcje brzegowe i pliki (większość danych konta i aktywności). Region: UE (Frankfurt). Transfer: w EOG - brak transferu poza EOG.
PostHog - analityka produktowa (powiązana z identyfikatorem UUID; właściwości zdarzeń oczyszczane z danych osobowych). Region: UE (instancja EU). Transfer: w EOG - brak transferu poza EOG.
Sentry - monitoring błędów i wydajności (dane osobowe wyłączone i oczyszczane przed wysyłką). Region: USA. Transfer: poza EOG - standardowe klauzule umowne (SCC).
Cloudflare - weryfikacja bota Turnstile (przekazuje adres IP klienta), CDN/WAF oraz analityka ruchu witryny wordrill.pl bez plików cookie (Cloudflare Web Analytics). Region: globalna krawędź / global edge. Transfer: poza EOG - standardowe klauzule umowne (SCC).
Resend - e-mail transakcyjny (przekazuje adres odbiorcy i treść wiadomości, np. powiadomienie o usunięciu konta). Region: USA. Transfer: poza EOG - standardowe klauzule umowne (SCC).
Firebase Cloud Messaging (Google) - powiadomienia push (token urządzenia + treść). Region: Google global. Transfer: poza EOG - standardowe klauzule umowne (SCC).
Apple - dystrybucja iOS oraz weryfikacja paragonów i subskrypcji. Region: globalny / USA. Transfer: poza EOG - SCC / warunki sklepu.
Google (Play / OAuth) - dystrybucja Android, weryfikacja paragonów i wymiana tokenów serwer-serwer (bez przycisku logowania Google w aplikacji). Region: globalny / USA. Transfer: poza EOG - SCC / warunki sklepu.
Google Analytics 4 (Google) - analityka ruchu w witrynie wordrill.pl - uruchamiana wyłącznie po wyrażeniu zgody na statystyki; pliki cookie _ga i _ga_*. Region: globalny / USA. Transfer: poza EOG - standardowe klauzule umowne (SCC); tryb zgody Google (Consent Mode).
Google Tag Manager (Google) - menedżer tagów w witrynie wordrill.pl - wczytuje pozostałe tagi zgodnie z Twoim wyborem w banerze; sam nie zapisuje plików cookie ani danych na urządzeniu, przetwarza adres IP przy pobraniu kontenera. Region: globalny / USA. Transfer: poza EOG - standardowe klauzule umowne (SCC); tryb zgody Google (Consent Mode).
Meta Platforms (piksel Meta / Meta Pixel) - pomiar skuteczności reklam Wordrill w witrynie wordrill.pl - uruchamiany wyłącznie po wyrażeniu zgody na marketing; pliki cookie _fbp i _fbc. Region: globalny / USA i Irlandia. Transfer: poza EOG - standardowe klauzule umowne (SCC); Meta jest współadministratorem w zakresie statystyk odbiorców.

Wordrill powiadomi szkołę o dodaniu lub zmianie podprocesora z 30-dniowym wyprzedzeniem; brak sprzeciwu w okresie wypowiedzenia oznacza akceptację.

4. Dane ucznia - przetwarzanie, retencja, usuwanie

Wordrill nie zbiera daty urodzenia ucznia. Pola obowiązkowe przy rejestracji to nazwa wyświetlana, e-mail, hasło i język; pozostałe są opcjonalne. Adres IP klienta jest rejestrowany na potrzeby bezpieczeństwa i ograniczania nadużyć (m.in. w sesjach administracyjnych i logach zdarzeń) i przechowywany zgodnie z harmonogramem retencji w sekcji 4.1.

4.1 Harmonogram retencji

Kategoria danych - retencja aktywna - po zakończeniu umowy:

Uwierzytelnianie konta - czas życia konta - konto ucznia odłączane od szkoły (zob. 4.2).
Podejścia do ćwiczeń - czas życia konta - pozostają na koncie ucznia (konto odłączone).
Wiadomości klasowe / prywatne (DM) - czas życia klasy - trwale usuwane.
Logi audytowe - 13 miesięcy - następnie usuwane.
Zdarzenia bezpieczeństwa - 24 miesiące - następnie usuwane.
Analityka zbiorcza - bezterminowo - brak danych osobowych.

4.2 Co dzieje się z danymi po zakończeniu współpracy

Gdy umowa się kończy (z dowolnej strony i z dowolnego powodu), Wordrill porządkuje dane szkoły. Robi to wyłącznie nasz uprawniony personel, po dodatkowym potwierdzeniu i z domyślnym krokiem próbnym, aby nic nie stało się przez pomyłkę. W skrócie:

Konta uczniów zostają, są tylko odłączane od szkoły. Uczeń może zachować swoje osobiste konto Wordrill po odejściu szkoły - usuwamy jedynie powiązanie ze szkołą. Uczeń, który chce trwale usunąć lub zanonimizować swoje konto, robi to samodzielnie w ustawieniach, niezależnie od szkoły.
Konta nauczycieli i administratorów pozostają powiązane, aby nie przerwać historii działań (ścieżki audytu). Odejście nauczyciela obsługujemy zwykłą procedurą.
Treści klasowe są trwale usuwane: klasy, listy uczniów w klasach, wiadomości klasowe i prywatne, zadania, postępy zadań oraz zgłoszenia treści. Eksport zrobiony przed zakończeniem umowy (poniżej) jest jedynym zapisem tych treści.
Dane szkoły są archiwizowane, a nie kasowane, aby zachować spójność historii i umożliwić powrót szkoły w przyszłości.
Eksport przed zakończeniem: przed końcem umowy szkoła może poprosić o pełny eksport - raport dla każdego ucznia (nazwa wyświetlana, klasa, poziom, łączny i tygodniowy XP, seria, ostatnia aktywność). Realizujemy go w ciągu 10 dni roboczych.
Logi i zbiorcze statystyki, które musimy zachować ze względów prawnych, przechowujemy zgodnie z harmonogramem (4.1), usuwając z nich pola pozwalające przypisać dane do konkretnego ucznia.

5. Potwierdzenie wieku i zgody rodziców

Wordrill nie zbiera, nie sprawdza ani nie przechowuje pojedynczych zgód rodziców i opiekunów - nie ma też do tego osobnego formularza. Za uzyskanie zgody rodzica lub opiekuna odpowiada szkoła - dla każdego ucznia poniżej wieku zgody cyfrowej w danym kraju (16 lat w EOG, 13 lat w USA, a gdy szkoła działa w kilku krajach - wyższy z tych progów). Szkoła przechowuje dowody zgody i bierze odpowiedzialność, jeśli zgody w rzeczywistości nie było, mimo że oświadczyła, że ją zebrała.

Wyznaczony Administrator Szkoły potwierdza to w aplikacji. Zapisujemy datę potwierdzenia i osobę, która je złożyła, w danych szkoły oraz w historii działań; ponowne potwierdzenie po prostu nadpisuje poprzednie. Potwierdzenie służy jako dowód i przypomnienie - nie blokuje zapisywania uczniów; wiążące jest samo zobowiązanie z umowy (Warunki dla szkół, punkt 1).

School (B2B) Data Terms - English summary

How Wordrill processes student data on behalf of a School: roles, DPA summary, sub-processors, and the student-data lifecycle.

Informational summary. The binding documents are the signed School Terms of Service, Data Processing Agreement (DPA) and Data Protection Impact Assessment (DPIA).

1. Roles - controller and processor

Within the School Dashboard the School is the Data Controller and Wordrill is the Data Processor under the GDPR (Regulation (EU) 2016/679). Wordrill processes student personal data solely on the School's documented instructions, to provide the School Dashboard service. Wordrill provisions one school-administrator account per School during manual onboarding - there is no self-serve school sign-up. A student may belong to only one School at a time.

2. DPA summary

Why and how long: we process data only to run the School Dashboard. While the contract is active the data is kept - including over holidays and breaks, so everything is waiting for students when they return. Only once the contract ends do we start a 30-day wind-down, after which the data is deleted per the procedure in section 4.
What we use data for: signing in; storing attempts, scores and progress; teacher-student messaging; class statistics; sending class exercises for moderation; and notifications. Aggregate statistics are always anonymous.
What data: identifying data, sign-in data, learning data, message content, technical data (device ID, client IP, session ID) and an optional profile. We do not process special-category (Art. 9) data, and the contract forbids it.
How we protect it: encryption in transit (TLS 1.2+, HSTS) and at rest; strict, locked-by-default access rules on every table holding personal data; two-factor sign-in with extra confirmation for admin actions; tamper-proof logs; no scoring on the device; and keeping each school's data separate.
If there is a breach: we tell the School without undue delay, and within 72 hours at the latest.
Transfers abroad: outside the EEA only under Standard Contractual Clauses (Decision (EU) 2021/914).
People's rights: we help the School handle access, correction and deletion requests within 10 business days (per-person GDPR export and anonymization, plus an admin editor).

3. Sub-processor list

Each is bound by data-processing terms consistent with the DPA (purpose - region):

Supabase - database, authentication, edge functions and storage (most account & activity data). Region: UE (Frankfurt). Transfer: within the EEA - no transfer outside the EEA.
PostHog - product analytics (identity-linked by UUID; event properties PII-scrubbed). Region: UE (instancja EU). Transfer: within the EEA - no transfer outside the EEA.
Sentry - error & performance monitoring (PII disabled and scrubbed before send). Region: USA. Transfer: outside the EEA - Standard Contractual Clauses (SCC).
Cloudflare - Turnstile bot-check (forwards the client IP), CDN/WAF and cookieless wordrill.pl traffic analytics (Cloudflare Web Analytics). Region: globalna krawędź / global edge. Transfer: outside the EEA - Standard Contractual Clauses (SCC).
Resend - transactional email (forwards the recipient address and message body, e.g. account-deletion notice). Region: USA. Transfer: outside the EEA - Standard Contractual Clauses (SCC).
Firebase Cloud Messaging (Google) - push notifications (device token + content). Region: Google global. Transfer: outside the EEA - Standard Contractual Clauses (SCC).
Apple - iOS distribution and receipt/subscription validation. Region: globalny / USA. Transfer: outside the EEA - SCC / store terms.
Google (Play / OAuth) - Android distribution, receipt validation and server-to-server token exchange (no Google sign-in button in the app). Region: globalny / USA. Transfer: outside the EEA - SCC / store terms.
Google Analytics 4 (Google) - wordrill.pl website traffic analytics - loaded only after the visitor consents to statistics; _ga and _ga_* cookies. Region: globalny / USA. Transfer: outside the EEA - Standard Contractual Clauses (SCC); Google Consent Mode.
Google Tag Manager (Google) - tag manager on the wordrill.pl website - loads the other tags according to your banner choice; sets no cookies and stores nothing on the device itself, processes the IP address when the container is fetched. Region: globalny / USA. Transfer: outside the EEA - Standard Contractual Clauses (SCC); Google Consent Mode.
Meta Platforms (piksel Meta / Meta Pixel) - measuring the performance of Wordrill ads on the wordrill.pl website - loaded only after the visitor consents to marketing; _fbp and _fbc cookies. Region: globalny / USA i Irlandia. Transfer: outside the EEA - Standard Contractual Clauses (SCC); Meta is a joint controller for audience insights.

Wordrill gives 30 days' written notice of any sub-processor addition or change; absent objection within the notice period, the change is deemed accepted.

4. Student-data handling, retention & deletion

Date of birth is not collected. Mandatory signup fields: display name, email, password, language. The client IP is recorded for security and abuse-prevention (e.g. admin sessions and event logs) and retained per the schedule in section 4.1.

Data category - active retention - post-termination:

Account authentication - lifetime of account - student account detached from School (see below).
Exercise attempts - lifetime of account - kept on the student account (now detached).
Class messages / DMs - lifetime of class - hard-deleted.
Audit logs - 13 months - then deleted.
Security events - 24 months - then deleted.
Aggregate analytics - indefinite - no personal data.

Off-boarding is carried out only by authorised Wordrill staff, after extra confirmation and with a dry run by default so nothing happens by mistake. When it runs: student accounts are kept but detached from the School (this flow does not anonymise them); teacher and admin accounts stay attached to preserve the history of actions; class content (classes, class rosters, class and private messages, assignments, progress and content reports) is permanently deleted; and the School's record is archived, not deleted. An export taken before the contract ends is the only record of the deleted class content. A student who wants their own account deleted or anonymised does it themselves in settings, independently of the School.

5. Age and parental-consent confirmation

Wordrill does not collect, check, or store individual parent/guardian consent, and there is no separate form for it. The School is responsible for obtaining and keeping records of consent for every student below the local age of digital consent (16 in the EEA, 13 in the US, and the higher of the two where the School spans countries). If consent was not in fact obtained even though the School stated it was, the School takes responsibility for that.

The Designated School Admin confirms this in-app; we record the date and the person who confirmed it on the School's record and in the action history, and confirming again simply overwrites the previous entry. The confirmation is evidence and a reminder - it does not block student enrolment; the binding obligation is the contract clause itself (School Terms, clause 1).

Ostatnia aktualizacja: 30 lipca 2026. Wersja polska jest wiążąca.

Last updated: 30 July 2026. The Polish version is authoritative.