Polityka prywatności Hey Feelings™

Ostatnia aktualizacja: 5 października 2026 r.

1. Administrator i zakres polityki

Administratorem danych osobowych jest Tales Labs sp. z o.o., właściciel marki Hey Feelings™, z siedzibą przy ul. Nowolipie 2B/9, 00-150 Warszawa, Polska, NIP: 5252939328. W sprawach prywatności i realizacji praw napisz na kontakt@heyfeelings.com lub na powyższy adres pocztowy.

Polityka obejmuje heyfeelings.com, panel użytkownika, kursy, grę na play.heyfeelings.com, formularze, newsletter, zamówienia i kontakt z nami. Zakres danych zależy od funkcji, z których korzystasz.

2. Jakie dane otrzymujemy i skąd

Konto: e-mail, imię i nazwisko, rola, ustawienia, dane weryfikacji adresu oraz identyfikatory i terminy sesji. Przy logowaniu hasłem przechowujemy jego zabezpieczony skrót, a nie hasło w postaci jawnej.
Google, Facebook lub Apple: identyfikator konta u dostawcy, e-mail, dostępne imię oraz, gdy jest przekazywana, informacja o weryfikacji e-maila. Apple może udostępnić adres przekazujący wiadomości zamiast zwykłego e-maila. Nie pobieramy listy znajomych, prywatnych wiadomości ani postów. Wybór takiego logowania nie oznacza zgody na newsletter lub reklamy.
Dostęp i licencje: aktywacje kodów, uprawnienia, przypisania do licencji i placówki, miejsca użytkowników i historia zaproszeń. Zarządzający licencją może przekazać Twój e-mail, aby Cię zaprosić. Dane kontaktowe przedstawiciela placówki możemy otrzymać też od placówki lub partnera obsługującego zamówienie. Informację o źródle udostępniamy przy pierwszym kontakcie lub zaproszeniu.
Kurs: postępy, pozycja odtwarzania, procent obejrzanego materiału, wyniki i odpowiedzi quizowe, odpowiedzi otwarte oraz własne notatki. Certyfikat obejmuje imię i nazwisko uczestnika, nazwę kursu, datę ukończenia, numer i status.
Gra: identyfikator, czas i konfiguracja rozgrywki, świat i język, liczby rzutów, ruchów, kart, dialogów, diamentów i dodatków oraz ukończenie. Przy zalogowanym użytkowniku statystyki są powiązane z jego kontem, a w odpowiednim kontekście również z licencją i placówką. Zapis do wznowienia gry i część ustawień pozostają także w pamięci przeglądarki. Demo zapisuje identyfikator sesji, liczbę rzutów, czas i powód zakończenia oraz skróty tokenu i IP do ograniczania nadużyć. Skrót IP lub identyfikator sesji nie oznacza anonimowości.
Zamówienia i rezerwacje: oferta, dane kontaktowe nabywcy lub przedstawiciela placówki, nazwa organizacji, potrzebne dane do faktury, kwota, waluta, status i identyfikatory płatności, subskrypcji oraz realizacji. Rezerwacja szkolenia może obejmować placówkę, termin, liczbę uczestników, osobę kontaktową i telefon. Przy płatności przez Stripe dane instrumentu płatniczego podajesz Stripe; nie przechowujemy pełnego numeru karty ani CVC.
Wniosek o dofinansowanie szkolenia: imię i nazwisko, e-mail, dane placówki wpisane do formularza, oferta, treść dokumentu, przypisany przedstawiciel, dane zgody i kontaktu oraz status przygotowania i wysyłki. Pobieranie dokumentu chronimy tokenem; do ograniczania nadużyć używamy skrótu IP.
Kontakt, newsletter i ankieta aktywacyjna: dane kontaktowe, wiadomości, zgłoszenia i odpowiedzi, preferencje newslettera oraz data i źródło zmiany zgody. Ankieta obejmuje korzystanie z podobnych narzędzi i źródło informacji o marce. W starszych kontach może pozostać wcześniej podana liczba dzieci w grupie; nie jest to lista dzieci.
Dane techniczne i wybory prywatności: IP, informacje o przeglądarce, urządzeniu, żądaniach, błędach i czasie dostępu. Rejestr wyborów cookies może obejmować identyfikator przeglądarki, domenę, wybrane cele, datę zgody lub cofnięcia, wersję polityki, IP i informacje o przeglądarce. Po odpowiedniej zgodzie narzędzia pomiarowe i reklamowe otrzymują także dane opisane w punkcie 5.

3. Cele i podstawy przetwarzania

Usługi i działania przed zawarciem umowy — art. 6 ust. 1 lit. b RODO: konto, logowanie, dostarczenie produktów, obsługa dostępu, kursu, postępów, notatek, quizów i certyfikatów, zamówień oraz rezerwacji. Także przygotowanie dokumentu lub oferty na Twoje żądanie i wiadomości potrzebne do obsługi usługi, np. weryfikacja e-maila i reset hasła.
Obowiązki prawne — art. 6 ust. 1 lit. c RODO: rozliczenia wynikające z prawa podatkowego i ustawy o rachunkowości, obowiązki dotyczące praw konsumenta i reklamacji oraz obowiązki administratora wynikające z RODO.
Prawnie uzasadnione interesy — art. 6 ust. 1 lit. f RODO: bezpieczeństwo, zapobieganie nadużyciom i egzekwowanie limitu demo, diagnostyka, korespondencja, ustalenie lub obrona roszczeń oraz kontakt z przedstawicielami placówek i zarządzanie dostępem pracowników do licencji. Statystyki rozgrywki związane z kontem dorosłego służą ocenie działania i wykorzystania produktu. Ankieta aktywacyjna służy poznaniu potrzeb użytkowników i źródeł dotarcia. Naszym interesem jest bezpieczne prowadzenie usługi i obsługa relacji z klientami, z uwzględnieniem praw użytkowników. Ta podstawa nie zastępuje zgody na opcjonalne narzędzia śledzące.
Zgoda — art. 6 ust. 1 lit. a RODO: newsletter, kontakt marketingowy w zakresie zgody, w tym kontakt dotyczący oferty po przygotowaniu wniosku, oraz opcjonalny pomiar i reklamy. Dla informacji handlowych i dostępu do pamięci urządzenia stosujemy także wymagania Prawa komunikacji elektronicznej.

Potwierdzenie zapoznania się z polityką nie jest zgodą na wszystkie opisane działania. Zgody na newsletter, pomiar i marketing są odrębne. Możesz je wycofać; wcześniejsze przetwarzanie pozostaje zgodne z prawem, a cofnięcie opcjonalnej zgody nie pozbawia dostępu do zakupionej usługi.

4. Dzieci, emocje i wpisywane treści

Materiały i gra Hey Feelings™ są wykorzystywane w pracy z dziećmi. Konta, zakupy i zarządzanie dostępem są przeznaczone dla dorosłych: rodziców, nauczycieli, terapeutów i przedstawicieli placówek. Dzieci korzystają z gry pod ich opieką. Funkcja statystyk nie zapisuje rozmów podczas gry, nagrań głosu ani odpowiedzi dzieci na pytania z kart. Statystyki rozgrywki nie są oceną lub diagnozą stanu emocjonalnego dziecka. Osobno opisujemy opcjonalne odtwarzanie interakcji z interfejsem przez Clarity w punkcie 5.

Notatki kursowe, odpowiedzi otwarte i wiadomości trafiają do serwera. Nie wpisuj do nich danych pozwalających rozpoznać dzieci ani informacji o zdrowiu, diagnozach, terapii lub innych danych szczególnej kategorii. Nie potrzebujemy dokumentacji medycznej ani dziennika uczuć do świadczenia usług. Samo wpisanie takich informacji nie stanowi wyraźnej zgody wymaganej przez art. 9 RODO. Jeśli prześlesz je omyłkowo, skontaktuj się z nami, abyśmy mogli ograniczyć ich dalsze przetwarzanie i ocenić sposób usunięcia. Nie wykorzystujemy ich do reklam ani diagnozowania użytkowników.

Placówka lub terapeuta odpowiada za własne przetwarzanie danych dzieci podczas zajęć. Ta polityka nie zastępuje ich obowiązków informacyjnych ani podstaw przetwarzania.

5. Cookies, pomiar, odtwarzanie sesji i reklamy

Cookies i pamięć przeglądarki służą logowaniu, bezpieczeństwu, zapamiętywaniu wyborów prywatności oraz ustawień i stanu gry. Opcjonalne narzędzia uruchamiamy po zgodzie na odpowiednią kategorię. Ustawienia ciasteczek w stopce pozwalają odmówić lub zmienić wybór. Na docelowych domenach wybór dotyczy strony i gry.

Google Analytics 4 — pomiar: identyfikatory przeglądarki, strony, źródła ruchu, urządzenie, przybliżona lokalizacja i zdarzenia, np. rejestracja, logowanie, rozpoczęcie zamówienia lub wysłanie formularza. Służą analizie korzystania z serwisu.
Microsoft Clarity — pomiar: kliknięcia, przewijanie, ruchy wskaźnika, informacje o urządzeniu i stronach oraz odwzorowanie widoku i zmian interfejsu. Pozwala odtworzyć interakcje i tworzyć mapy kliknięć na stronie i w grze. Nie jest to nagranie kamery ani mikrofonu. Maskowanie ogranicza widoczność treści wrażliwych, lecz nie oznacza anonimowości całej sesji. Więcej o przetwarzaniu przez Microsoft: oświadczenie o prywatności Microsoft.
Meta Pixel — marketing: identyfikatory reklamowe i przeglądarki, urządzenie, strony i zdarzenia, np. zainteresowanie ofertą, rejestracja lub wysłanie formularza. Meta może powiązać je z kontem Facebook lub Instagram, mierzyć reklamy i dopasowywać odbiorców. To odrębna funkcja od logowania przez Facebook.

Szczegóły cookies i ich dostawców znajdziesz w ustawieniach oraz Polityce ciasteczek. Cofnięcie zgody zatrzymuje dalsze działanie opcjonalnych narzędzi; nie usuwa automatycznie danych już przekazanych dostawcom. W sprawie ich usunięcia możesz napisać do nas.

6. Odbiorcy danych

Udostępniamy dane w zakresie potrzebnym do zadania:

Vercel, w tym Vercel Blob, i Neon: hosting, dostarczanie plików i baza danych.
Brevo: wiadomości transakcyjne, kontakty i newsletter. Dane kontaktowe konta i stan zgody mogą być synchronizowane z Brevo także dla zarządzania preferencjami; wysyłka newslettera wymaga zgody.
Stripe i banki: płatności, subskrypcje, zwroty i rozliczenia. Operator płatności przetwarza część danych również jako odrębny administrator, m.in. dla własnych obowiązków prawnych.
Google, Meta i Apple: wybrane logowanie; Google, Microsoft i Meta także pomiar lub reklamy zgodnie z punktem 5 i Twoimi wyborami. W zakresie własnych usług dostawcy mogą działać jako odrębni administratorzy.
Obsługa zgłoszeń i szkoleń: upoważnieni pracownicy, współpracownicy, przypisani przedstawiciele handlowi i partnerzy realizujący zamówienie. Powiadomienia mogą zawierać dane kontaktowe i treść wiadomości oraz trafiać do służbowej poczty i narzędzia komunikacji zespołu Slack.
Zarządzający licencją w placówce: informacje potrzebne do zapraszania, obsługi członkostwa, miejsc i dostępu do przypisanych produktów.
Posiadacze linku weryfikacyjnego certyfikatu: imię i nazwisko uczestnika, kurs, datę ukończenia, numer i ważność certyfikatu. Link lub QR umożliwia sprawdzenie bez logowania; udostępniaj go świadomie.
Doradcy, księgowość i uprawnione organy: dane niezbędne do obowiązków prawnych lub konkretnej sprawy, na odpowiedniej podstawie prawnej.

Nie sprzedajemy baz danych osobowych. Podmiotom działającym na nasze zlecenie powierzamy dane na odpowiednich warunkach; odrębni administratorzy odpowiadają także za własne zasady prywatności.

7. Przekazywanie danych poza EOG

Międzynarodowi dostawcy mogą przetwarzać dane lub zapewniać dostęp poza Europejskim Obszarem Gospodarczym, zwłaszcza w USA. Serwer w UE nie wyklucza dostępu spoza EOG. Transfer wymaga mechanizmu z rozdziału V RODO: decyzji Komisji Europejskiej o odpowiednim stopniu ochrony albo standardowych klauzul umownych i, gdy potrzeba, dodatkowych zabezpieczeń. EU–US Data Privacy Framework obejmuje tylko uczestniczących odbiorców i objęte nim transfery. Zgoda na cookies nie zastępuje tych zabezpieczeń. Napisz do nas po informacje o mechanizmie dla konkretnego odbiorcy i kopię zabezpieczeń, z ochroną tajemnic i danych innych osób.

8. Okresy przechowywania

Konto, dostęp, postępy, notatki i powiązane statystyki: przez czas korzystania z konta i funkcji. Przy usunięciu konta usuwamy jego dane użytkowe; pozostaje tylko zakres potrzebny do obowiązków prawnych lub konkretnego roszczenia. Notatki możesz usuwać także osobno.
Wnioski szkoleniowe: PDF ma okres przechowywania 12 miesięcy od wygenerowania. Dane kontaktowe wniosku są przewidziane do usunięcia lub anonimizacji po 12 miesiącach od wygenerowania albo ostatniego kontaktu, zależnie od tego, co nastąpiło później. Cofnięcie zgody kończy dalszy kontakt marketingowy; nie oznacza usunięcia dokumentu. Możesz osobno żądać usunięcia danych.
Newsletter: do cofnięcia zgody lub zakończenia wysyłki. Minimalny zapis rezygnacji może pozostać dla respektowania wyboru, a dowód zgody na czas potrzebny do wykazania zgodności i obrony roszczeń związanych z wysyłką.
Korespondencja, oferty i rezerwacje: do zakończenia sprawy lub usługi; później tylko zakres potrzebny do rozliczeń lub upływu terminu przedawnienia roszczenia z tej sprawy. Termin zależy od rodzaju i wymagalności roszczenia oraz przerwania lub zawieszenia jego biegu.
Dokumenty podatkowe i księgowe: przez okres wymagany przepisami, zwykle 5 lat. Dla dokumentacji podatkowej zasadniczo od końca roku, w którym upłynął termin płatności podatku, a dla dowodów księgowych zgodnie z ustawą o rachunkowości. Spór lub zawieszenie biegu przedawnienia może wydłużyć okres.
Logi, zabezpieczenia demo i historia wyborów prywatności: na czas potrzebny do wyjaśnienia zdarzenia bezpieczeństwa, egzekwowania limitu demo lub wykazania wyborów. Dane konkretnego incydentu lub sporu mogą pozostać do jego zakończenia i upływu właściwego terminu roszczeń, z ograniczeniem zakresu i dostępu.
Clarity: według dokumentacji Microsoft zwykłe odtwarzanie sesji jest dostępne przez 30 dni, mapy kliknięć oraz sesje oznaczone lub dodane do ulubionych przez 9 miesięcy. Okres danych analitycznych nie jest tym samym co ważność cookies. Informacje o okresach i ustawieniach pozostałych narzędzi pomiarowych i reklamowych możesz uzyskać od nas.
Pamięć przeglądarki: do wygaśnięcia wpisu, zastąpienia albo usunięcia danych witryny przez użytkownika. Czyszczenie przeglądarki nie usuwa danych na serwerze.

Kopie zapasowe podlegają cyklowi przechowywania dostawcy i służą odtworzeniu usługi. Przy żądaniu usunięcia wyjaśnimy zakres danych wymagających dalszego zachowania i jego podstawę. Pseudonimizacja, np. zastąpienie e-maila identyfikatorem, nie oznacza automatycznie anonimizacji.

9. Twoje prawa

Na warunkach RODO masz prawo dostępu i kopii danych, sprostowania, usunięcia i ograniczenia przetwarzania. Przenoszenie dotyczy dostarczonych przez Ciebie danych przetwarzanych automatycznie na podstawie zgody lub umowy. Możesz cofnąć zgodę i złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.

Możesz wnieść sprzeciw wobec marketingu bezpośredniego w każdej chwili. Przy uzasadnionym interesie możesz wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją; ocenimy go zgodnie z RODO.

Napisz na kontakt@heyfeelings.com. Z newslettera wypiszesz się linkiem w wiadomości lub zmianą preferencji w panelu. Zgodę na kontakt dotyczący wniosku cofniesz linkiem w otrzymanej wiadomości, a pomiar i reklamy w ustawieniach ciasteczek. Usunięcie konta opisuje strona Usuwanie danych; możesz też napisać bezpośrednio do nas.

Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. W przypadkach przewidzianych RODO możemy przedłużyć termin o dwa miesiące, informując o powodzie w pierwszym miesiącu. Co do zasady realizacja praw jest bezpłatna. Przy uzasadnionych wątpliwościach możemy poprosić o informacje potrzebne do potwierdzenia tożsamości. Odłączenie logowania u Google, Meta lub Apple nie usuwa automatycznie konta Hey Feelings™ ani danych przetwarzanych przez dostawcę we własnych celach.

10. Dobrowolność podania danych

Dane podajesz dobrowolnie, ale pola wymagane są potrzebne do funkcji: bez e-maila nie utworzymy konta ani nie wyślemy dokumentu; bez wymaganych danych nabywcy nie obsłużymy zamówienia lub faktury. Formularz aktywacji kodu wymaga także odpowiedzi na pytania o korzystanie z podobnych narzędzi i źródło informacji o marce, a przy wyborze mediów społecznościowych — wskazania platformy. Bez tych odpowiedzi nie ukończysz tego formularza. Zapis do newslettera oraz zgody na pomiar i reklamy są opcjonalne. Formularz wniosku o dofinansowanie obecnie wymaga zaznaczenia pola obejmującego zgodę na kontakt w sprawie oferty i wniosku; nie jest to zgoda na ogólny newsletter. Odmowa opcjonalnego pomiaru lub marketingu nie blokuje podstawowych usług.

11. Profilowanie i automatyczne decyzje

Automatycznie obliczamy wyniki quizów, postępy i warunki ukończenia kursu oraz sprawdzamy uprawnienia z zakupów i licencji. Są to funkcje usługi. Narzędzia reklamowe mogą dopasowywać reklamy i odbiorców na podstawie aktywności z punktu 5. Nie podejmujemy wobec Ciebie decyzji wyłącznie automatycznie, które wywołują skutki prawne lub podobnie istotnie wpływają na Twoją sytuację w rozumieniu art. 22 RODO.

12. Ochrona i aktualizacje

Stosujemy zabezpieczenia połączeń, kontrolę dostępu i ograniczenia uprawnień odpowiednie do danych. Chroń hasło, linki do dokumentów i sesję na wspólnych urządzeniach; po zajęciach wyloguj się. Aktualizujemy politykę przy zmianach usług lub przetwarzania, wskazując datę nowej wersji. O zmianach wymagających osobnego poinformowania lub nowej zgody komunikujemy przed rozpoczęciem takiego przetwarzania. Publikacja polityki nie zastępuje wymaganej zgody.