Zasady retencji i usuwania danych — PlanGmina EDU

Wersja: edu-terms-2026-09-21 · wersja polska jest wiążąca w razie rozbieżności

Harmonogram retencji (zaimplementowany)

Konta użytkowników — do usunięcia konta przez użytkownika lub zakończenia uczestnictwa + 90 dni; mechanizm: kaskada usunięcia (dokumenty, raporty, alerty, zapisane działki, tokeny, dane EDU).
Członkostwo EDU (rola, projekty, kohorta) — czas członkostwa; po zakończeniu pilotażu metadane uczelni są przechowywane 90 dni, następnie usuwane; mechanizm: zadanie cykliczne edu-lifecycle.
Raporty i eksporty akademickie — do usunięcia konta albo zakończenia programu + 90 dni; mechanizm: kaskada / edu-lifecycle. Pobrane pliki PDF pozostają u uczelni jako artefakty ze znakiem wodnym.
Dowód akceptacji warunków (data + wersja) — czas członkostwa + 90 dni; mechanizm: rekord członkostwa, po okresie retencji usuwany automatycznie.
Tokeny sesyjne, resetowe i weryfikacyjne — do wygaśnięcia; mechanizm: indeksy TTL.
Dziennik bezpieczeństwa (adres IP jako skrót HMAC) — 30 dni; mechanizm: indeks TTL.
Logi audytowe (zdarzenia cyklu życia instytucji i kont) — 90 dni; mechanizm: indeks TTL.
Statystyki programu (kody uczelni) — wyłącznie agregaty, bez danych osobowych; mechanizm: kolekcja edu_campaigns.
Nieudane wyszukiwania (jakość resolvera) — 14 dni; mechanizm: indeks TTL.
Pamięć podręczna faktów źródłowych o działkach — 35 dni; mechanizm: indeks TTL (dane publiczne, bez identyfikatorów osób).

Obsługa kont EDU — cele: świadczenie usługi, realizacja programu pilotażowego; kategorie osób: użytkownicy EDU; kategorie danych: identyfikacyjno-kontaktowe; odbiorcy: podmioty wskazane w informacji o prywatności; retencja: zgodnie z harmonogramem powyżej; środki: skróty haseł (argon2id), ciasteczka httpOnly, limity użycia, automatyczna retencja (TTL).
Bezpieczeństwo i przeciwdziałanie nadużyciom — dzienniki zdarzeń, zagregowane liczniki użycia; retencja: 30/90 dni.
Kontakt z uczelniami — dane osób kontaktowych; retencja: czas programu + 90 dni.

Minimalizacja: zbieramy wyłącznie dane wymienione powyżej.
Brak przechowywania „na zapas”: każdy zbiór ma zdefiniowany koniec retencji.
Usunięcie konta oznacza usunięcie danych powiązanych (kaskada), z wyjątkiem dowodu akceptacji warunków do końca jego okresu retencji.
Dane zakończonych pilotaży nie pozostają w systemie bezterminowo — są usuwane 90 dni po zakończeniu.