Polityka prywatności i ochrony danych osobowych

Klauzula informacyjna RODO (art. 13 rozporządzenia UE 2016/679). Obowiązuje od 17 października 2026 r. Poprzednia wersja obowiązywała od 15 czerwca 2026 r., ze zmianami z 17 sierpnia 2026 r. (sekcja o elektronicznym potwierdzaniu tożsamości) i z 17 października 2026 r. (opis modelu open-source).

1. Administrator danych

Polski Instytut Kompetencji Przyszłości (PIKP)
ul. Ligocka 103, budynek 8, 40-568 Katowice
NIP: 6343037402 · KRS: 0001097397 · ZRK: 32206
Kontakt: egzamin@pikp.pl

Inspektor Ochrony Danych: iod@pikp.pl

2. Cele i podstawy prawne przetwarzania

Cel	Podstawa prawna	Okres przechowywania
Rejestracja konta i realizacja usługi walidacji, w tym przetwarzanie zapytań przez model wybrany w egzaminie praktycznym	art. 6 ust. 1 lit. b RODO (umowa)	do usunięcia konta + 30 dni
Przeprowadzenie walidacji i certyfikowanie (ocena i decyzja komisji, protokół, certyfikat)	art. 6 ust. 1 lit. c RODO (obowiązek prawny — ustawa o ZSK)	jak dokumentacja walidacji (5 lat przy wydanym certyfikacie)
Ewidencja wydanych certyfikatów	art. 6 ust. 1 lit. c RODO (obowiązek prawny — art. 49a ust. 3 ustawy o ZSK)	5 lat od wystawienia
Nadzór nad egzaminem (obraz z kamery i mikrofon na żywo bez ciągłego nagrywania, log zdarzeń integralności, zrzuty przy zdarzeniach krytycznych)	art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — wiarygodność walidacji i samodzielność pracy kandydata)	5 lat (jak certyfikat)
Automatyczna ocena pracy egzaminacyjnej przez model oceniający i kontrola samodzielności prac (model wspiera ocenę; wynik części praktycznej ustala komisja walidacyjna)	art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — rzetelna, jednolita i weryfikowalna ocena prac oraz wykrywanie prac niesamodzielnych, dla wiarygodności certyfikatów)	jak dokumentacja walidacji (5 lat przy wydanym certyfikacie; zapisy zapytań do modeli bez certyfikatu — 1 rok)
Rozpatrywanie odwołań	art. 6 ust. 1 lit. c RODO (procedura odwoławcza)	5 lat
Rozpatrywanie reklamacji	art. 6 ust. 1 lit. b RODO (umowa)	5 lat
Kontrola egzaminów dofinansowanych ze środków UE przez operatora programu dofinansowania	art. 6 ust. 1 lit. c RODO (obowiązki wynikające z przepisów i umów o dofinansowanie)	jak dokumentacja walidacji
Potwierdzanie autentyczności certyfikatu osobom trzecim (publiczny rejestr, strona certyfikatu)	art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — wiarygodność certyfikatów wobec pracodawców i instytucji)	jak ewidencja certyfikatów
Rozliczenia i fakturowanie	art. 6 ust. 1 lit. c (obowiązek podatkowy)	5 lat od końca roku podatkowego
Marketing własny (newsletter)	art. 6 ust. 1 lit. a (zgoda)	do odwołania zgody

Prawo sprzeciwu. Wobec przetwarzania na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO) — nadzoru nad egzaminem, oceny pracy przez model oceniający, kontroli samodzielności prac i potwierdzania autentyczności certyfikatu — możesz w każdej chwili wnieść sprzeciw (art. 21 RODO), pisząc na iod@pikp.pl. Rozpatrujemy go indywidualnie; przetwarzanie może być kontynuowane, jeżeli wykażemy ważne prawnie uzasadnione podstawy nadrzędne wobec Twoich interesów, praw i wolności.

Akceptacja Regulaminu i potwierdzenie zapoznania się z niniejszą Polityką przy rejestracji nie są zgodą na przetwarzanie danych. Zgoda jest podstawą przetwarzania wyłącznie w przypadku newslettera.

3. Kategorie danych

• Identyfikacyjne: imię, nazwisko, numer PESEL oraz ustalana z niego data urodzenia. Dane te są wymagane do potwierdzenia tożsamości kandydata i wystawienia certyfikatu (wymóg ustawowy — art. 49a ustawy o ZSK). Numer PESEL jest przechowywany w postaci zaszyfrowanej.

• Kontaktowe: e-mail, numer telefonu, adres korespondencyjny.

• Płatnicze: płatność przelewem bankowym na rachunek PIKP — kwota, kod płatności w tytule przelewu, status i data płatności; dane do faktury (imię i nazwisko albo nazwa firmy, adres, NIP); jeżeli je prześlesz — plik z potwierdzeniem przelewu, który zwykle zawiera imię i nazwisko (nazwę) płatnika, jego adres i numer rachunku. Nie przetwarzamy danych kart płatniczych.

• Wynikowe: odpowiedzi w teście wiedzy, treść interakcji z modelem AI w egzaminie praktycznym, oceny komisji.

• Wizerunek z kamery: obraz wideo podczas walidacji NIE jest zapisywany w całości. Zapisywane są tylko screenshoty incydentów (np. wykrycie drugiej osoby w kadrze) jako dowód dla komisji.

4. Wykrywanie obecności

Platforma używa biblioteki MediaPipe do wykrywania obecności twarzy w kadrze (czy kandydat jest na miejscu, czy nie ma drugiej osoby). Algorytm działa wyłącznie lokalnie w przeglądarce — nie przesyła obrazu twarzy ani jej cech biometrycznych na serwer.

Nie zapisujemy szablonów biometrycznych (face embeddings). Przetwarzanie nie stanowi przetwarzania danych biometrycznych w rozumieniu art. 9 RODO.

5. Odbiorcy danych

• OpenAI Ireland Ltd (Irlandia; dane przetwarzane na serwerach w USA przez OpenAI, L.L.C.) — w egzaminie praktycznym: zapytania i dane wejściowe kandydata, który wybrał model komercyjny; niezależnie od wybranego modelu — praca egzaminacyjna każdego kandydata, w tym zapytania do modelu i odpowiedzi modelu, przekazywana do automatycznej oceny i kontroli samodzielności prac; w razie złożenia odwołania lub reklamacji — treść pisma, wyniki egzaminu i fragmenty pracy, których dotyczy, po zastąpieniu znacznikami imienia i nazwiska, adresu, daty urodzenia, adresów e-mail, numerów telefonu i PESEL, numerów sesji oraz numerów certyfikatów, w celu przygotowania projektu odpowiedzi dla komisji i redakcji protokołu z rozpatrzenia sprawy. Patrz sekcja „Przekazywanie danych poza EOG”.

• OVHcloud — hosting platformy, w tym bazy danych i plików przesłanych na platformę (serwer w Niemczech, EOG), oraz — dla kandydata, który w egzaminie praktycznym wybrał model open-source — zapytania i dane wejściowe przetwarzane przez ten model (centrum danych we Francji, EOG).

• Microsoft Ireland Operations Ltd (Irlandia) — poczta e-mail Microsoft 365: wysyłka wiadomości z platformy (m.in. wyniki, faktury, odpowiedzi na odwołania) oraz skrzynka egzamin@pikp.pl, na którą przychodzą m.in. odwołania i reklamacje; przechowywanie kopii zapasowych bazy danych i plików przesłanych na platformę wyłącznie w postaci zaszyfrowanej (klucz do odszyfrowania ma tylko PIKP). Patrz sekcja „Przekazywanie danych poza EOG”.

• Authologic sp. z o.o. (Polska) — elektroniczne potwierdzenie tożsamości przez mojeID, jeżeli z niego skorzystasz (sekcja „Elektroniczne potwierdzenie tożsamości”).

• Komisja walidacyjna PIKP — członkowie zespołu oceniającego (rola pracownicza/zleceniobiorca).

• Operator programu dofinansowania (instytucja kontrolująca egzaminy finansowane ze środków UE) — wyłącznie wobec kandydatów, których egzamin jest dofinansowany i którzy zostali mu przypisani: imię i nazwisko, numer PESEL, numer telefonu, adres e-mail, adres korespondencyjny, data założenia konta, status egzaminu oraz podgląd obrazu i dźwięku z kamery i mikrofonu na żywo podczas egzaminu (bez nagrywania).

• Organy nadzoru ZSK — Minister Cyfryzacji oraz IBE PIB (podmiot prowadzący Zintegrowany Rejestr Kwalifikacji), na podstawie obowiązków sprawozdawczych (art. 49a ustawy o ZSK).

• Osoby weryfikujące certyfikat — publiczny rejestr (po podaniu numeru certyfikatu) oraz strona certyfikatu pod linkiem, który możesz udostępnić, pokazują: imię i nazwisko posiadacza, numer certyfikatu, nazwę kwalifikacji, poziom PRK, datę przeprowadzenia walidacji, datę i miejsce wydania, okres ważności i status (aktywny/odwołany).

• Dostawcy usług technicznych przy egzaminie z nadzorem — jsDelivr i Google (pliki biblioteki wykrywania twarzy, pobierane przez Twoją przeglądarkę) oraz 8x8 (serwer STUN zestawiający połączenie wideo): otrzymują adres IP Twojego urządzenia i mogą go przetwarzać poza EOG.

6. Twoje prawa

• Dostęp do swoich danych (art. 15 RODO).

• Sprostowanie nieprawidłowych danych (art. 16).

• Usunięcie — z wyjątkiem danych przechowywanych z obowiązku prawnego (certyfikat 5 lat, faktury 5 lat).

• Ograniczenie przetwarzania (art. 18).

• Przenośność danych (art. 20) — eksport w formacie JSON dostępny w panelu kandydata.

• Sprzeciw wobec przetwarzania na podstawie prawnie uzasadnionego interesu (art. 21) — nadzoru nad egzaminem, oceny pracy przez model oceniający, kontroli samodzielności prac i potwierdzania autentyczności certyfikatu (sekcja 2).

• Cofnięcie zgody (gdy podstawą była zgoda) — w każdej chwili.

• Skarga do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

7. Cookies i podobne technologie

Platforma używa wyłącznie ciasteczek niezbędnych do funkcjonowania (sesja zalogowania, CSRF token). Nie używamy ciasteczek marketingowych ani trackingowych zewnętrznych firm.

8. Bezpieczeństwo

Dane są szyfrowane w transmisji (HTTPS/TLS 1.3) i w spoczynku (AES-256 dla wrażliwych pól w bazie). Dostęp do systemów produkcyjnych mają wyłącznie uprawnione osoby PIKP — z logowaniem każdej operacji w audit trail.

9. Zmiany Polityki

PIKP może aktualizować niniejszą Politykę. O istotnych zmianach poinformujemy zarejestrowanych użytkowników — e-mailem albo komunikatem w platformie przy logowaniu. Bieżąca wersja zawsze dostępna pod tym adresem.

Przekazywanie danych poza EOG

Za pośrednictwem OpenAI Ireland Ltd do serwerów OpenAI w USA (OpenAI, L.L.C.) przekazywane są: (1) zapytania i dane wejściowe, które wysyłasz do modelu w egzaminie praktycznym, jeżeli w pierwszym kroku egzaminu wybierzesz model komercyjny; (2) niezależnie od wybranego modelu — Twoja praca z egzaminu praktycznego, w tym przygotowane przez Ciebie dane wejściowe, Twoje zapytania do modelu i odpowiedzi modelu, w celu automatycznej oceny przez model oceniający i kontroli samodzielności prac; (3) jeżeli złożysz odwołanie lub reklamację — treść pisma wraz z wynikami egzaminu, uzasadnieniami ocen i fragmentami pracy, których dotyczy, a następnie wysłana odpowiedź, w celu przygotowania projektu odpowiedzi dla komisji i redakcji protokołu z rozpatrzenia sprawy; przed przekazaniem Twoje imię i nazwisko, adres, datę urodzenia, adresy e-mail, numery telefonu i PESEL, numery sesji oraz numery certyfikatów zastępujemy znacznikami, a prawdziwe dane wstawiamy do projektu dopiero w PIKP (do dostawcy trafia wyłącznie forma grzecznościowa „Pani” albo „Pan”). Jeżeli po tej zamianie w treści pozostaje któraś z tych danych, projekt ani protokół nie są przygotowywane przy użyciu modelu. Przekazanie do USA odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony danych w ramach EU-US Data Privacy Framework (DPF) — OpenAI, L.L.C. jest uczestnikiem DPF. Podstawą przekazania Twojej pracy do oceny i kontroli samodzielności (pkt 2) jest prawnie uzasadniony interes PIKP (art. 6 ust. 1 lit. f RODO, sekcja 2); przysługuje Ci prawo sprzeciwu (sekcja 6).

Jeżeli w pierwszym kroku egzaminu wybierzesz model open-source, odpowiedzi na Twoje zapytania generuje model z otwartą licencją uruchomiony przez OVHcloud w centrum danych we Francji (EOG). Wybór tego modelu nie wyłącza przekazania opisanego w pkt 2 — te same zapytania i dane wejściowe, razem z odpowiedziami modelu, są następnie przekazywane do OpenAI w celu oceny i kontroli samodzielności prac.

Pocztę e-mail i zaszyfrowane kopie zapasowe obsługuje Microsoft Ireland Operations Ltd w ramach usług Microsoft 365. Jeżeli dane są przy tym przetwarzane w USA przez Microsoft Corporation, podstawą jest DPF — Microsoft Corporation jest jego uczestnikiem.

Dostawcy usług technicznych wymienieni w sekcji 5 (jsDelivr, Google, 8x8) otrzymują adres IP Twojego urządzenia podczas egzaminu z nadzorem i mogą go przetwarzać poza EOG.

Dane w egzaminie pochodzą ze scenariuszy fikcyjnych — celowo NIE dotyczą rzeczywistych osób. Część egzaminu sprawdza Twoje umiejętności anonimizacji.

Zrzuty ekranu z kamery (proctoring)

Podczas egzaminu praktycznego z włączonym proctoringiem, system może wykonywać zrzuty ekranu z kamery wyłącznie w przypadku zarejestrowania zdarzeń krytycznych integralności (np. wykrycie drugiej osoby w kadrze). Zrzuty są przechowywane przez 5 lat zgodnie z retencją certyfikatów. Możesz wykonać prawo do dostępu do swoich zrzutów: kontakt iod@pikp.pl. Podstawa prawna: Art. 6 ust. 1 lit. f RODO (uzasadniony interes — wiarygodność oficjalnej kwalifikacji rynkowej).

Elektroniczne potwierdzenie tożsamości (mojeID)

Kandydatom zapisanym na termin egzaminu udostępniamy możliwość elektronicznego potwierdzenia tożsamości przez mojeID. Potwierdzenie jest realizowane za pośrednictwem Authologic sp. z o.o. — dostawcy usługi identyfikacji elektronicznej, działającego jako podmiot przetwarzający na podstawie umowy powierzenia.

Jakie dane otrzymujemy: imię, nazwisko i numer PESEL, a w niektórych przypadkach datę urodzenia. Dane te porównujemy z danymi podanymi przez Państwa przy rejestracji i zapisujemy wyłącznie wynik porównania (zgodność / niezgodność), metodę potwierdzenia oraz datę. Nie przechowujemy kopii imienia, nazwiska ani numeru PESEL otrzymanych od dostawcy — te dane posiadamy już z rejestracji.

Czego nie otrzymujemy: danych uwierzytelniających do bankowości elektronicznej, dostępu do rachunku, historii transakcji, wizerunku ani skanów dokumentów. Nie pobieramy od dostawcy żadnych plików ani zdjęć.

Cel i podstawa prawna: potwierdzenie, że do egzaminu i do certyfikatu w Zintegrowanym Systemie Kwalifikacji przystępuje osoba, która się zgłosiła — art. 6 ust. 1 lit. c RODO (obowiązek prawny wynikający z przepisów o ZSK w zakresie rzetelności walidacji) oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes: wiarygodność wydawanych certyfikatów).

Dobrowolność: skorzystanie z potwierdzenia elektronicznego jest dobrowolne. Rezygnacja nie pozbawia prawa przystąpienia do egzaminu — w takim przypadku tożsamość ustala komisja walidacyjna na podstawie okazanego dokumentu tożsamości.

Okres przechowywania: wynik potwierdzenia przechowujemy razem z dokumentacją walidacji, zgodnie z okresami wskazanymi w części dotyczącej retencji. Dostawca usługi identyfikacji usuwa dane pojedynczego procesu weryfikacji zgodnie z własną polityką retencji, w terminie krótszym niż jeden miesiąc od jego zakończenia.

Transfer poza EOG: nie występuje — dostawca i mojeID działają w Polsce.

Pytania dotyczące potwierdzania tożsamości: iod@pikp.pl.