Przejdź do treści
Kwestie prawne

Wszystko, o co pyta dział IT, z odpowiedziami wprost z działającego kodu.

Hosting, podmioty przetwarzające, domeny do odblokowania, jakie dane są przechowywane i gdzie. Dosłowny kwestionariusz zakupowy jest o jedno kliknięcie dalej.

Karta dostawcy · zaktualizowano we wrześniu 2026
W jednym zdaniu
Strona internetowa, nie instalacja
Dowolna nowoczesna przeglądarka, dowolne urządzenie. Bez wtyczek, bez aplikacji, bez konta do grania.
Hosting
Vercel z przodu, Google Firebase z tyłu
Vercel dostarcza aplikację; konta, aktywności i wyniki leżą w bazie danych czasu rzeczywistego Firebase.
Lokalizacja danych
UE lub Stany Zjednoczone, wybierane przy zakładaniu konta
Nowe konto trafia do regionu wskazanego przez strefę czasową przeglądarki — Europa i Afryka do UE, reszta do Stanów Zjednoczonych. Pliki i dane konta to dwa osobne ustawienia. Pliki może przekierować każde konto; przeniesienie danych konta wymaga aktywnej subskrypcji.
Zapora sieciowa
Krótka lista dozwolonych — z websocketem włącznie
Baza danych komunikuje się przez wss://, a to reguła, którą surowe filtry szkolne blokują najczęściej.
1

Od kogo kupujesz

Puzzel.org to holenderska jednoosobowa firma, więc kontakt handlowy, kontakt techniczny i osoba, która pisze kod, to jedna i ta sama osoba. Poniżej są dane, których dział zakupów potrzebuje, żeby zarejestrować dostawcę.

Wsparcie jest nieograniczone i działa przez e-mail — odpowiada deweloper, a nie bezosobowa kolejka zgłoszeń.
Podany niżej kontakt jest też kontaktem w sprawach bezpieczeństwa i naruszeń danych; nie ma osobnej ścieżki eskalacji.
Nazwa prawna
Puzzel.org
Kontakt i osoba kontaktowa
Daan Weustenraad
Adres
Sneekermeer 13, 3825XT Amersfoort, The Netherlands
Strona internetowa
https://puzzel.org
Izba Handlowa (KvK)
66090091
Numer VAT
NL002191535B44
Wsparcie
Nieograniczone, przez e-mail, 09:00–22:00 CET
2

Co szkoła faktycznie wdraża

Nic się nie instaluje. Nauczyciele otwierają puzzel.org w przeglądarce, którą już mają, a gracze otwierają link albo aktywność osadzoną na twojej własnej stronie — bez konta, bez pobierania, bez uprawnień administratora.

Obsługiwane są Chrome, Firefox, Safari i Edge; Internet Explorer nie.
W grę nie wchodzi Flash, Java ani rozszerzenie przeglądarki, a na urządzeniu nic nie jest przechowywane.
Strony są lekkie — zwykle znacznie poniżej 1 MB — więc sieć bezprzewodowa wystarczy; połączenie kablowe nie jest potrzebne.
Granie działa na telefonach i tabletach; tworzenie aktywności jest wygodniejsze na tablecie albo na komputerze.
Chromebooki i zablokowane urządzenia zarządzane nie są problemem: wszystko działa w przeglądarce.
3

Zapora, lista dozwolonych i nagłówki stron

Odblokuj poniższe domeny. Baza danych czasu rzeczywistego łączy się przez websocket, a to właśnie surowy filtr treści zwykle po cichu odrzuca — jeśli aktywności się otwierają, ale wyniki nigdy się nie zapisują, zacznij od tej reguły.

Odblokuj obie domeny bazy danych. Dane twojego konta leżą w jednym regionie, ale część danych wspólnych dla całej platformy zawsze jest w USA, więc zablokowanie którejkolwiek z nich może uniemożliwić zapisywanie wyników.
Ze Stripe łączymy się tylko podczas zakupu albo odnawiania subskrypcji — na urządzeniach w klasie może zostać zablokowany.
Domeny do przepuszczenia przez filtr
puzzel.org Sama aplikacja
puzzelorg-cdn.s3.us-west-1.amazonaws.com Obrazy i dźwięki przesłane przez konta przechowywane w USA
puzzelorg-image-cdn.s3.eu-north-1.amazonaws.com Obrazy i dźwięki przesłane przez konta przechowywane w UE
*.googleapis.com Logowanie i odświeżanie tokenu (Firebase Authentication)
puzzelorg.firebaseapp.com Okno logowania dla kont Google i Microsoft
wss://puzzelorg.firebaseio.com Baza danych czasu rzeczywistego — konta przechowywane w USA wss
wss://puzzelorg-2.europe-west1.firebasedatabase.app Baza danych czasu rzeczywistego — konta przechowywane w UE wss
checkout.stripe.com Tylko podczas zakupu albo odnawiania subskrypcji

Symbole wieloznaczne to własne hosty Google dla Firebase Authentication; reszta jest podana dokładnie.

Nagłówki odpowiedzi ustawiane na każdej stronie
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
Wymusza HTTPS przez rok, razem z subdomenami
X-Content-Type-Options: nosniff
Nie pozwala przeglądarce zgadywać typów treści
Referrer-Policy: strict-origin-when-cross-origin
Wysyła innym stronom tylko domenę źródłową, nigdy pełny URL
X-Frame-Options: SAMEORIGIN
Blokuje umieszczanie platformy w ramce — osadzone aktywności oraz strony dla uczestników akademii na dokładnie wskazanych przez nią witrynach są celowymi wyjątkami
Content-Security-Policy: frame-ancestors 'self'; upgrade-insecure-requests;
Powtarza regułę dotyczącą ramek i podnosi każde zwykłe żądanie http do HTTPS
4

Logowanie, role i logowanie jednokrotne

Nauczyciele logują się adresem e-mail i hasłem albo kontem Google lub Microsoft, którym twoja szkoła już zarządza. Gracze pozostają anonimowi, chyba że nauczyciel celowo włączy rejestrację w danej aktywności.

Każdy nauczyciel ma własne logowanie; właściciel konta szkolnego zaprasza do niego współpracowników i może odebrać miejsce.
Role są celowo płaskie: właściciel zarządza miejscami, a każdy nauczyciel widzi własne aktywności oraz bibliotekę szkoły, jeśli szkoła ją włączy.
Osadzone aktywności obsługują logowanie jednokrotne OIDC: twój portal przekazuje podpisany token, który przed wpuszczeniem gracza jest sprawdzany z opublikowanymi kluczami twojego dostawcy tożsamości. Wydawcy tokenów trafiają na listę dozwolonych osobno dla każdego konta, konfigurujemy to na życzenie.
Nie ma dziś konektora Clever, ClassLink ani SAML — zapytaj, zanim to założysz.
5

Jakie dane przechowuje platforma

Domyślnie aktywność nie zapisuje o graczu niczego: żadnego konta, imienia, punktacji. Zapisywanie wyników i pytanie gracza, kim jest, to dwa osobne ustawienia, które nauczyciel włącza w każdej aktywności z osobna, a każde pole wybiera ręcznie z poniższej listy.

Konto nauczyciela: adres e-mail, imię i nazwisko, stworzone aktywności oraz przesłane obrazy i dźwięki.
Dane gracza: tylko te pola rejestracji, które wybrał nauczyciel, plus odpowiedzi udzielone w tej jednej aktywności.
Nigdzie na platformie nie ma trackerów reklamowych ani analitycznych, a na ekranie gry nie ma skryptów zewnętrznych.
Asystent AI działa na pojedyncze zapytanie: to, co wpisze nauczyciel, trafia do OpenAI lub Google Gemini, aby wygenerować treść. Coś, co wpisze gracz, też może trafić do OpenAI: w grze Wordle z włączonym sprawdzaniem słów zgadywane słowo, którego nie ma na naszych własnych listach słów, jest wysyłane jako pojedyncze słowo, bez niczego, co mogłoby zidentyfikować gracza.
Pola, o które nauczyciel może zapytać gracza
Imię i nazwiskoImięNazwiskoE-mailNumer telefonuNumer uczniaNumer pracownikaOrganizacjaKlasaKrajInne informacjeHasłoWłasne pytanie

Żadne z nich nie pojawia się, dopóki nauczyciel nie doda go do konkretnej aktywności.

6

Izolacja, szyfrowanie i kto widzi twoje dane

Każdy odczyt i zapis przechodzi przez Firebase Security Rules, a ta kontrola działa na serwerach Google, a nie w przeglądarce, więc obowiązuje nawet wtedy, gdy ktoś przepisze stronę, którą ma przed sobą. Do danych konta i do wyników sięga wyłącznie konto, do którego należą. Kilka rzeczy jest celowo otwartych, żeby strona z grą wczytała się bez logowania: treść aktywności, plan i styl właściciela oraz trwające sesje w trybie wieloosobowym.

Ruch jest szyfrowany HTTPS na całej trasie, a dane szyfruje Google Firebase — i w transmisji, i w spoczynku.
Przesłane obrazy i dźwięki są udostępniane z publicznego adresu S3. Traktuj je jak publiczne: nie umieszczaj w mediach aktywności niczego poufnego.
Puzzel.org otwiera konto tylko wtedy, gdy jego właściciel prosi o pomoc w czymś, co się w nim znajduje.
Podprocesorzy
Vercel Hosting i dostarczanie aplikacji
Google Firebase Uwierzytelnianie i baza danych czasu rzeczywistego z danymi kont
Amazon S3 Przechowywanie przesłanych obrazów i dźwięków
Stripe Płatności za subskrypcje i fakturowanie
OpenAI Generuje treści, gdy nauczyciel korzysta z asystenta AI, oraz sprawdza, czy zgadywane słowo w grze Wordle jest prawdziwym słowem
Google Gemini Generuje obrazy oraz odczytuje dokumenty i zdjęcia, które nauczyciel importuje za pomocą asystenta AI
Twilio SendGrid Wysyła e-maile platformy: powitalne i płatnicze, zaproszenia oraz aktualizacje produktu
Pixabay Dostarcza bezpłatne zdjęcia stockowe, które nauczyciel może wyszukać w edytorze

Wszystko, na czym opiera się platforma. Poza nimi i poza własnymi systemami szkoły, z którymi łączy się nauczyciel, żadna inna strona nie dostaje danych konta ani danych graczy.

7

Gdzie przechowywane są dane

Dwa ustawienia, celowo niezależne: jedno decyduje, w którym regionie S3 leżą przesłane pliki, drugie — w którym regionie bazy danych są dane konta. Nowe konto startuje w regionie sugerowanym przez strefę czasową przeglądarki — Europa i Afryka dostają bazę w UE — a oba można później zmienić.

Dane konta: baza danych czasu rzeczywistego Google Firebase w europe-west1 w Belgii albo w us-central1 w Stanach Zjednoczonych.
Pliki: bucket Amazon S3 w us-west-1 (Kalifornia) lub eu-north-1 (Sztokholm). Istniejące pliki po zmianie działają dalej.
Konta założone przed wrześniem 2026 są przechowywane w Stanach Zjednoczonych, chyba że zostały przeniesione. Przeniesienie danych konta do drugiego regionu działa jako migracja w tle i wymaga płatnej subskrypcji.
8

Usuwanie, przechowywanie i informacja o naruszeniu

Wszystko, co nauczyciel stworzy, może też usunąć — od razu, bez pisania do wsparcia. Usunięcie aktywności usuwa też to, co przesłali do niej gracze.

Usuń jeden wynik i po nim; usuń aktywność, a razem z nią znikają jej treść, statystyki i rejestracje graczy.
Usunięcie konta kasuje jego aktywności, foldery, gotowe ustawienia, dane o płatnościach i samo logowanie.
Nie ma stałego okresu przechowywania: dane zostają, dopóki właściciel konta ich nie usunie.
Po naruszeniu właściciele kont dostają e-mail od podanego wyżej kontaktu: co się stało, kogo to dotyczy i co dla nich oznacza.
9

Osadzanie, LMS i API

Większość szkół korzysta z Puzzel.org osadzonego w czymś, co już prowadzi — stronie w Canvas, witrynie szkoły, blogu. Strony aktywności to jedyne strony, które inna witryna może umieścić w ramce; reszta platformy odmawia tego wprost.

Canvas: uruchomienie LTI pozwala nauczycielowi wybrać jedną z własnych aktywności i wstawia ją na stronę jako osadzenie.
Wszystko inne: skopiuj kod osadzenia i wklej go na dowolnej stronie — bez prac integracyjnych.
REST API może tworzyć aktywności z twoich własnych systemów, z limitem 10 żądań dziennie na klucz.
Niczego nie trzeba wcześniej importować do Puzzel.org — żadnej synchronizacji list klas, żadnego przesyłania danych uczniów.
Google Classroom: nauczyciel przypisuje aktywność z Puzzel.org, a wynik każdego ucznia trafia do jego własnego zgłoszenia — bez dostępu do listy uczniów. Twój administrator Google Workspace zatwierdza dla tego jedną aplikację; jej identyfikator klienta znajdziesz w centrum pomocy.
10

Licencje, zakupy i płatności

Subskrypcja szkolna to roczna licencja na jedno konto szkolne z miejscem dla współpracowników, dobrana do liczby sesji graczy, jakiej spodziewasz się miesięcznie. Nigdy nie skaluje się sama do rachunku za przekroczenie: rozmiar wybierasz ty i możesz go podnieść, kiedy tylko potrzebujesz.

Zamówienie zakupu jest w porządku, jeśli da się je opłacić kartą albo przelewem. Czeków nie przyjmujemy — firma nie ma siedziby w USA.
Płatności obsługuje Stripe, więc dane karty nigdy nie trafiają do systemów Puzzel.org.
Potrzebujesz formalnego dokumentu przed zamówieniem? Narzędzie do tworzenia ofert przygotuje ofertę w PDF z danymi twojej szkoły.
W kwestii dostępności na stronie Dostępność można pobrać raport zgodności VPAT 2.5 obejmujący WCAG 2.1 AA, Section 508 i EN 301 549. To samoocena i wskazuje, co nie jest spełnione.
Subskrypcja szkolna w skrócie
Cena za rok
€125 / $150
Konta nauczycieli w cenie
5
Sesje graczy miesięcznie
5 000
Zwiększanie limitu
1 000 sesji więcej miesięcznie za €25 / $30 rocznie
Bez subskrypcji
2 aktywności i 60 sesji graczy miesięcznie, za darmo
11

Umowa powierzenia przetwarzania

Puzzel.org przetwarza dane uczniów na polecenie twojej szkoły, a RODO wymaga na to umowy. Oto ona, gotowa do podpisu — nie musisz jej pisać i nic za nią nie płacisz.

Dla szkół w Holandii: branżowy Model Verwerkersovereenkomst 4.0, wzięty jeden do jednego, z trzema wypełnionymi załącznikami. Twoja szkoła zna już ten dokument.
Wszędzie indziej: anglojęzyczna umowa powierzenia przetwarzania na podstawie art. 28 RODO, z tymi samymi dwoma załącznikami jako Schedules.
Nic nie jest podpisane z góry. Wypełnij swoją część, podpisz i odeślij — my podpisujemy jako druga strona i odsyłamy kopię.

Załącznik o bezpieczeństwie uczciwie opisuje każdy środek, w tym te piętnaście z dwudziestu jeden, których jednoosobowa firma nie spełnia. Przeczytaj go przed podpisaniem, a nie po.

Coś tu wciąż niejasne? Po prostu zapytaj — strony prawne, które wymagają dopytywania mailem, są źle napisane.