Platforma kursowa z danymi w UE — co sprawdzić u dostawcy

Co oznacza, że platforma kursowa trzyma dane w UE?

Oznacza, że główna baza danych — kursanci, zamówienia, faktury, kontakty — oraz jej kopie zapasowe leżą na serwerach w państwach Unii. To dobry punkt wyjścia, ale nie cała odpowiedź. Platforma korzysta z usług innych firm: operatorów płatności, dostawcy poczty, czasem modeli sztucznej inteligencji albo narzędzi analitycznych. Każdy z nich przetwarza część danych i nie każdy robi to w Unii.

Dlatego właściwe pytanie brzmi nie „gdzie stoi serwer", tylko „kto i gdzie przetwarza dane moich kursantów, i na jakiej podstawie".

To nie jest porada prawna. Poniżej opisujemy mechanizmy wynikające z ogólnego rozporządzenia o ochronie danych (RODO) i pytania, które warto zadać dostawcy. Ocenę twojej sytuacji — zwłaszcza przy danych wrażliwych albo sprzedaży szkoleń dużym firmom — zostaw prawnikowi albo inspektorowi ochrony danych.

Kim jesteś ty, a kim platforma?

W sprzedaży kursów role są zwykle rozdzielone tak:

Relację administratora z podmiotem przetwarzającym opisuje art. 28 RODO: potrzebna jest umowa powierzenia (albo inny instrument prawny), która określa przedmiot, czas, charakter i cel przetwarzania, rodzaj danych oraz obowiązki stron. Umowa może być osobnym dokumentem albo częścią regulaminu usługi.

Jakie pytania zadać dostawcy?

1. Gdzie stoi baza danych i gdzie są kopie zapasowe? Oba miejsca, nie tylko serwer aplikacji.
2. Czy jest umowa powierzenia i gdzie ją znajdę? Szukaj w regulaminie albo w osobnym dokumencie.
3. Kto jest na liście podprocesorów? Rzetelny dostawca publikuje ją w polityce prywatności albo udostępnia na żądanie.
4. Czy któryś podprocesor przetwarza dane poza EOG — i na jakiej podstawie? Odpowiedź powinna wskazywać konkretny mechanizm z rozdziału V RODO.
5. Jak dowiem się o zmianie podprocesora? Umowa powinna przewidywać informację z wyprzedzeniem i prawo sprzeciwu.
6. Jak rozdzielone są dane różnych klientów platformy? Na poziomie aplikacji czy także samej bazy danych.
7. Co się dzieje z danymi po rozwiązaniu umowy? Termin usunięcia i możliwość eksportu przed odejściem.
8. Jak platforma pomoże mi obsłużyć żądanie kursanta? Dostęp do danych, sprostowanie, usunięcie.

Zachowaj odpowiedzi na piśmie. Gdy klient firmowy przyśle ci ankietę bezpieczeństwa przed zakupem szkolenia, odpowiesz na nią w godzinę zamiast w tydzień.

Jak wygląda transfer danych do USA?

Przekazanie danych poza Europejski Obszar Gospodarczy wymaga podstawy z rozdziału V RODO. W praktyce spotkasz trzy:

Decyzja stwierdzająca odpowiedni stopień ochrony. Dla Stanów Zjednoczonych jest to decyzja wykonawcza Komisji Europejskiej 2023/1795 z 10 lipca 2023 roku, dotycząca ram ochrony danych UE–USA (EU-US Data Privacy Framework). Obejmuje wyłącznie firmy amerykańskie, które przystąpiły do tych ram. 3 września 2025 roku Sąd Unii Europejskiej oddalił skargę na tę decyzję w sprawie T-553/23 Latombe przeciwko Komisji, a skarżący złożył odwołanie do Trybunału Sprawiedliwości (sprawa C-703/25 P) — omówienie IAPP, sprawdzone 19 września 2026. Stan sprawy przed Trybunałem sprawdź w chwili podejmowania decyzji.

Standardowe klauzule umowne. Wzór umowy zatwierdzony przez Komisję Europejską, podpisywany między eksporterem a importerem danych. Często uzupełniany oceną skutków transferu.

Wiążące reguły korporacyjne. Spotykane w dużych grupach kapitałowych, rzadziej w usługach dla małych firm.

Dlaczego to ważne w rozmowie o platformie kursowej? Poprzednie ramy — Safe Harbor i Tarcza Prywatności — zostały unieważnione przez Trybunał Sprawiedliwości w wyrokach Schrems I i Schrems II. Dane trzymane w Unii nie zależą od tego, czy kolejne ramy przetrwają. Dane przekazywane do USA — tak, choć przy standardowych klauzulach umownych jako zapasowej podstawie zmiana nie musi oznaczać przerwy w działaniu.

Gdzie dane wypływają poza samą platformę?

Nawet przy serwerach w Unii część przepływów decydujesz ty:

• Operator płatności. Płatność kartą, BLIK-iem czy przelewem przetwarza operator, z którym masz umowę. Jego polityka prywatności opisuje, gdzie przetwarza dane.
• Piksele i analityka. Meta Pixel, Google Analytics czy Hotjar dodane do strony kursu wysyłają dane o odwiedzających do tych firm. To twoja decyzja i twój obowiązek zgody w banerze plików cookie.
• Funkcje AI. Generatory treści i asystenci korzystają z modeli dostawców zewnętrznych. Sprawdź, czy dostawca platformy deklaruje, że dane nie trenują modeli.
• Osobny mailing. Jeśli newsletter wysyłasz z innego narzędzia, lista adresowa leży tam, a nie na platformie kursowej. Kryteria wyboru opisuje tekst o tym, jak wybrać polski autoresponder.

Kiedy lepszym wyborem jest dostawca spoza UE?

Hosting w Unii nie jest jedynym rozsądnym wyborem. Zagraniczna platforma może być lepsza, gdy:

• sprzedajesz głównie poza Europą i twoi kupujący oraz partnerzy są w USA,
• dostawca przystąpił do ram ochrony danych UE–USA i podpisuje standardowe klauzule umowne, a funkcja, której potrzebujesz, nie ma odpowiednika w Unii,
• nie przetwarzasz danych wrażliwych i nie sprzedajesz firmom, które wymagają przechowywania w Unii w umowie,
• masz już przeanalizowany transfer z inspektorem ochrony danych i gotową dokumentację.

Zagraniczne platformy kursowe działają zgodnie z RODO na podstawie mechanizmów z rozdziału V. Różnica polega na tym, że przy danych w Unii część tej dokumentacji jest po prostu niepotrzebna.

Jak to wygląda w Learnly?

Learnly trzyma dane na serwerach w Unii Europejskiej, a operatorem platformy jest polska spółka Learnly Sp. z o. o. Opis zabezpieczeń zebrany jest na stronie o bezpieczeństwie i RODO: dane kont klientów są rozdzielone na poziomie bazy danych mechanizmem Row-Level Security, a nie tylko w warstwie aplikacji, certyfikat szyfrowania wystawia się automatycznie na każdej podpiętej domenie.

Umowa powierzenia jest częścią regulaminu Learnly (paragraf o powierzeniu przetwarzania danych osobowych). Ty jesteś administratorem danych kursantów, Learnly podmiotem przetwarzającym. O zmianie podprocesora platforma informuje z wyprzedzeniem, a klient może wnieść sprzeciw, wypowiadając umowę.

Polityka prywatności Learnly wymienia podprocesorów, w tym dostawcę infrastruktury z serwerami w Unii, dostawcę poczty wychodzącej, operatorów płatności Stripe, Przelewy24 i PayU oraz dostawców funkcji sztucznej inteligencji (Anthropic, OpenAI) z deklaracją, że dane nie służą do trenowania modeli. Zaznacza też wprost, że część dostawców może przetwarzać dane poza EOG na podstawie standardowych klauzul umownych lub innego mechanizmu z rozdziału V RODO. To uczciwy obraz: rdzeń danych jest w Unii, a funkcje zewnętrzne mają opisaną podstawę transferu.

Regulamin sklepu, politykę prywatności, politykę plików cookie i formularz odstąpienia przygotujesz generatorem — jak je uzupełnić, opisuje tekst o dokumentach prawnych sklepu. Szersze kryteria wyboru dostawcy zbiera poradnik o tym, jak wybrać polską platformę kursową.

Pytania i odpowiedzi

Czy platforma kursowa musi trzymać dane w Unii?

RODO tego nie wymaga. Wymaga, by transfer poza EOG miał podstawę prawną z rozdziału V. Przechowywanie w Unii upraszcza dokumentację i uniezależnia cię od losów ram UE–USA.

Kto odpowiada za dane kursantów — ja czy platforma?

Jako sprzedawca jesteś administratorem danych i odpowiadasz przed kursantem. Platforma jest podmiotem przetwarzającym i odpowiada za przetwarzanie zgodne z umową powierzenia i RODO.

Czy muszę podpisywać osobną umowę powierzenia z platformą?

Nie zawsze. Umowa może być częścią regulaminu, który akceptujesz przy zakładaniu konta. Tak jest w Learnly. Jeśli twój klient firmowy wymaga osobnego dokumentu, zapytaj dostawcę, czy go przygotuje.

Czy ramy ochrony danych UE–USA nadal obowiązują?

Według stanu sprawdzonego 19 września 2026: decyzja Komisji z 2023 roku obowiązuje, Sąd Unii Europejskiej oddalił skargę na nią we wrześniu 2025 roku, a odwołanie czeka na rozstrzygnięcie Trybunału Sprawiedliwości. Przed decyzją sprawdź aktualny stan.

Czy dane w Unii oznaczają pełną zgodność z RODO?

Nie. Lokalizacja serwera to jeden element. Liczą się też podstawa przetwarzania, zgody na marketing, dokumenty dla kupujących, zabezpieczenia i obsługa żądań osób, których dane dotyczą.