Polityka prywatności i ochrony danych osobowych

Klauzula informacyjna RODO (art. 13 rozporządzenia UE 2016/679). Obowiązuje od 15 czerwca 2026 r.

1. Administrator danych

Polski Instytut Kompetencji Przyszłości (PIKP)
ul. Ligocka 103, budynek 8, 40-568 Katowice
NIP: 6343037402 · KRS: 0001097397 · ZRK: 32206
Kontakt: egzamin@pikp.pl

Inspektor Ochrony Danych: iod@pikp.pl

2. Cele i podstawy prawne przetwarzania

Cel	Podstawa prawna	Okres przechowywania
Rejestracja konta i obsługa walidacji	art. 6 ust. 1 lit. b RODO (umowa)	do usunięcia konta + 30 dni
Ewidencja wydanych certyfikatów	art. 6 ust. 1 lit. c RODO (obowiązek prawny — art. 49a ust. 3 ustawy o ZSK)	5 lat od wystawienia
Nadzór i integralność egzaminu (kamera, screenshoty incydentów)	art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes — wiarygodność walidacji)	5 lat (jak certyfikat)
Rozliczenia i fakturowanie	art. 6 ust. 1 lit. c (obowiązek podatkowy)	5 lat od końca roku podatkowego
Marketing własny (newsletter)	art. 6 ust. 1 lit. a (zgoda)	do odwołania zgody

3. Kategorie danych

• Identyfikacyjne: imię, nazwisko, numer PESEL oraz ustalana z niego data urodzenia. Dane te są wymagane do potwierdzenia tożsamości kandydata i wystawienia certyfikatu (wymóg ustawowy — art. 49a ustawy o ZSK). Numer PESEL jest przechowywany w postaci zaszyfrowanej.

• Kontaktowe: e-mail, numer telefonu, adres korespondencyjny.

• Płatnicze: NIE przechowujemy danych karty/konta — obsługa przez Przelewy24.

• Wynikowe: odpowiedzi w teście wiedzy, treść interakcji z modelem AI w egzaminie praktycznym, oceny komisji.

• Wizerunek z kamery: obraz wideo podczas walidacji NIE jest zapisywany w całości. Zapisywane są tylko screenshoty incydentów (np. wykrycie drugiej osoby w kadrze) jako dowód dla komisji.

4. Wykrywanie obecności

Platforma używa biblioteki MediaPipe do wykrywania obecności twarzy w kadrze (czy kandydat jest na miejscu, czy nie ma drugiej osoby). Algorytm działa wyłącznie lokalnie w przeglądarce — nie przesyła obrazu twarzy ani jej cech biometrycznych na serwer.

Nie zapisujemy szablonów biometrycznych (face embeddings). Przetwarzanie nie stanowi przetwarzania danych biometrycznych w rozumieniu art. 9 RODO.

5. Odbiorcy danych

• OpenAI lub Anthropic — wyłącznie jeśli kandydat wybrał model komercyjny w egzaminie praktycznym. Patrz sekcja 7.

• Komisja walidacyjna PIKP — członkowie zespołu oceniającego (rola pracownicza/zleceniobiorca).

• Organy nadzoru ZSK — Minister Cyfryzacji oraz IBE PIB (podmiot prowadzący Zintegrowany Rejestr Kwalifikacji), na podstawie obowiązków sprawozdawczych (art. 49a ustawy o ZSK).

6. Twoje prawa

• Dostęp do swoich danych (art. 15 RODO).

• Sprostowanie nieprawidłowych danych (art. 16).

• Usunięcie — z wyjątkiem danych przechowywanych z obowiązku prawnego (certyfikat 5 lat, faktury 5 lat).

• Ograniczenie przetwarzania (art. 18).

• Przenośność danych (art. 20) — eksport w formacie JSON dostępny w panelu kandydata.

• Sprzeciw wobec przetwarzania na podstawie prawnie uzasadnionego interesu (art. 21).

• Cofnięcie zgody (gdy podstawą była zgoda) — w każdej chwili.

• Skarga do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

7. Cookies i podobne technologie

Platforma używa wyłącznie ciasteczek niezbędnych do funkcjonowania (sesja zalogowania, CSRF token). Nie używamy ciasteczek marketingowych ani trackingowych zewnętrznych firm.

8. Bezpieczeństwo

Dane są szyfrowane w transmisji (HTTPS/TLS 1.3) i w spoczynku (AES-256 dla wrażliwych pól w bazie). Dostęp do systemów produkcyjnych mają wyłącznie uprawnione osoby PIKP — z logowaniem każdej operacji w audit trail.

9. Zmiany Polityki

PIKP może aktualizować niniejszą Politykę. O istotnych zmianach poinformujemy zarejestrowanych użytkowników e-mailem. Bieżąca wersja zawsze dostępna pod tym adresem.

Procesorzy danych spoza EOG

Dla wybranego modelu komercyjnego (OpenAI lub Anthropic), treść Twoich promptów oraz danych wejściowych wprowadzonych w egzaminie praktycznym jest przesyłana do serwerów w USA. Transfer odbywa się na podstawie EU-US Data Privacy Framework (DPF) — oba podmioty są certyfikowane.

Możesz wybrać model open-source (lokalny), aby uniknąć transferu danych poza EOG. Wybór modelu odbywa się w pierwszym kroku egzaminu.

Dane w egzaminie pochodzą ze scenariuszy fikcyjnych — celowo NIE dotyczą rzeczywistych osób. Część egzaminu sprawdza Twoje umiejętności anonimizacji.

Planowana migracja do EU data residency (Q3 2026): OpenAI → Microsoft Azure OpenAI Service (Sweden Central / France Central), Anthropic → AWS Bedrock (eu-central-1 Frankfurt). Po migracji: brak transferów do państw trzecich.

Zrzuty ekranu z kamery (proctoring)

Podczas egzaminu praktycznego z włączonym proctoringiem, system może wykonywać zrzuty ekranu z kamery wyłącznie w przypadku zarejestrowania zdarzeń krytycznych integralności (np. wykrycie drugiej osoby w kadrze). Zrzuty są przechowywane przez 5 lat zgodnie z retencją certyfikatów. Możesz wykonać prawo do dostępu do swoich zrzutów: kontakt iod@pikp.pl. Podstawa prawna: Art. 6 ust. 1 lit. f RODO (uzasadniony interes — wiarygodność oficjalnej kwalifikacji rynkowej).

Elektroniczne potwierdzenie tożsamości (mojeID)

Kandydatom zapisanym na termin egzaminu udostępniamy możliwość elektronicznego potwierdzenia tożsamości przez mojeID. Potwierdzenie jest realizowane za pośrednictwem Authologic sp. z o.o. — dostawcy usługi identyfikacji elektronicznej, działającego jako podmiot przetwarzający na podstawie umowy powierzenia.

Jakie dane otrzymujemy: imię, nazwisko i numer PESEL, a w niektórych przypadkach datę urodzenia. Dane te porównujemy z danymi podanymi przez Państwa przy rejestracji i zapisujemy wyłącznie wynik porównania (zgodność / niezgodność), metodę potwierdzenia oraz datę. Nie przechowujemy kopii imienia, nazwiska ani numeru PESEL otrzymanych od dostawcy — te dane posiadamy już z rejestracji.

Czego nie otrzymujemy: danych uwierzytelniających do bankowości elektronicznej, dostępu do rachunku, historii transakcji, wizerunku ani skanów dokumentów. Nie pobieramy od dostawcy żadnych plików ani zdjęć.

Cel i podstawa prawna: potwierdzenie, że do egzaminu i do certyfikatu w Zintegrowanym Systemie Kwalifikacji przystępuje osoba, która się zgłosiła — art. 6 ust. 1 lit. c RODO (obowiązek prawny wynikający z przepisów o ZSK w zakresie rzetelności walidacji) oraz art. 6 ust. 1 lit. f RODO (uzasadniony interes: wiarygodność wydawanych certyfikatów).

Dobrowolność: skorzystanie z potwierdzenia elektronicznego jest dobrowolne. Rezygnacja nie pozbawia prawa przystąpienia do egzaminu — w takim przypadku tożsamość ustala komisja walidacyjna na podstawie okazanego dokumentu tożsamości.

Okres przechowywania: wynik potwierdzenia przechowujemy razem z dokumentacją walidacji, zgodnie z okresami wskazanymi w części dotyczącej retencji. Dostawca usługi identyfikacji usuwa dane pojedynczego procesu weryfikacji zgodnie z własną polityką retencji, w terminie krótszym niż jeden miesiąc od jego zakończenia.

Transfer poza EOG: nie występuje — dostawca i mojeID działają w Polsce.

Pytania dotyczące potwierdzania tożsamości: iod@pikp.pl.