Polityka prywatności aplikacji Plan Awaryjny

Ten dokument wyjaśnia, jakie dane przetwarza aplikacja mobilna Plan Awaryjny (iOS i Android), po co, gdzie się znajdują i jak długo je przechowujemy. Opisuje aplikację w wersji, która trafi do App Store i Google Play. Piszemy prosto — jeśli coś jest niejasne, napisz do nas (punkt 2).

W skrócie

• Do korzystania z aplikacji potrzebne jest konto. Logujesz się jednorazowym kodem wysłanym na Twój adres e-mail. Na naszym serwerze nie zapisujemy samego adresu, tylko jego skrót (HMAC).
• Plan rodziny i dane domowników są szyfrowane na telefonie, zanim trafią na serwer (szyfrowanie end-to-end). Klucze mają tylko telefony Twojej rodziny — my tych danych nie odczytamy. Serwer widzi tylko informacje techniczne wymienione w punkcie 4.3.
• Dane medyczne (np. leki, alergie, opis szczególnych potrzeb) domyślnie zostają na telefonie. Trafiają do innych osób z własnym kontem w rodzinie (od 16 lat) tylko wtedy, gdy wyraźnie się na to zgodzisz. Profile medyczne dzieci nie opuszczają telefonu.
• Kategorie potrzeb domowników (np. „Stałe leki”, „Ograniczona mobilność”) i pozycje plecaków z nich wynikające też zostają na telefonie, dopóki osoba z własnym kontem w rodzinie nie zgodzi się wyraźnie na ich udostępnienie całemu gospodarstwu.
• Konto zakłada osoba, która ukończyła 16 lat. Dziecko w wieku 13–15 lat nie ma konta — jego telefon łączy z rodziną rodzic lub opiekun. Ta wersja aplikacji nie obsługuje dzieci poniżej 13 lat.
• Obecnie nie korzystamy w aplikacji z narzędzi analitycznych, reklam ani zewnętrznych narzędzi do raportowania awarii. Jeśli to się zmieni, najpierw zaktualizujemy tę politykę, a gdy prawo tego wymaga — poprosimy Cię o zgodę.
• Konto usuniesz w ustawieniach aplikacji („Ustawienia” → „Konto” → „Usuń konto”) albo prosząc nas o to e-mailem — opis: Usuwanie konta.

1. Kto jest administratorem danych

Administratorem Twoich danych osobowych, czyli podmiotem, który decyduje, po co i jak są przetwarzane, jest wydawca aplikacji:

Esy Floresy Paweł Sroka, jednoosobowa działalność gospodarcza wpisana do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), ul. Krakowska 2, 42-445 Szczekociny, NIP: 6492290980 (dalej: „my”).

W Google Play aplikację publikujemy pod nazwą dewelopera WiseNest Studio — to ten sam wydawca i administrator danych (Esy Floresy Paweł Sroka).

Inspektora ochrony danych nie wyznaczyliśmy. W sprawach ochrony danych pisz na adres z punktu 2.

2. Kontakt

W sprawach prywatności, usuwania konta i Twoich praw napisz na adres kontakt@planawaryjny.app albo wyślij list na adres siedziby podany w punkcie 1.

Na serwerze mamy tylko skrót Twojego adresu e-mail. Żeby znaleźć Twoje konto, musimy znać adres, którym się logujesz — najprościej napisz z tego adresu.

Nigdy nie prosimy o kod logowania ani o kod odzyskiwania — nie podawaj ich nikomu, także nam.

3. Jakie dane przetwarzamy, skąd je mamy i po co

Każdy cel opisujemy osobno: jakie dane, na jakiej podstawie prawnej i jak długo. Podstawy prawne podajemy według RODO (rozporządzenia UE 2016/679):

• art. 6 ust. 1 lit. b — wykonanie umowy, czyli świadczenie usługi opisanej w Regulaminie;
• art. 6 ust. 1 lit. c — obowiązek prawny, który na nas ciąży;
• art. 6 ust. 1 lit. f — nasz prawnie uzasadniony interes;
• art. 9 ust. 2 lit. a — Twoja wyraźna zgoda na przetwarzanie danych o zdrowiu.

W gospodarstwie są właściciele i inne osoby z własnym kontem, które ukończyły 16 lat (w aplikacji: „osoba z własnym kontem w rodzinie (16+)”). Dalej nazywamy je krótko: osoby z kontem.

3.1. Konto i logowanie

• Dane: adres e-mail, jednorazowy kod logowania, identyfikator i klucze publiczne Twojego telefonu, system (iOS lub Android), język aplikacji, data założenia konta i ostatniej aktywności, sesje logowania (w bazie tylko skróty tokenów) oraz liczba prób wpisania kodu (ochrona przed nadużyciami). Przy logowaniu zaznaczasz, że masz ukończone 16 lat. Gdy zapraszasz osobę do założenia własnego konta w rodzinie, potwierdzasz, że ma ona co najmniej 16 lat — zapisujemy tylko, że to potwierdziłeś, wersję tekstu i datę, bez danych tej osoby.
• Skąd: od Ciebie i z Twojego telefonu.
• Po co: żeby założyć konto, zalogować Cię, połączyć Twoje telefony z rodziną i potwierdzać ważne operacje (np. usunięcie konta) świeżym kodem.
• Jak: adres e-mail jest w pamięci serwera tylko na czas wysłania kodu. Wiadomość z kodem wysyła w naszym imieniu Resend, Inc. (USA) z regionu UE (Irlandia), więc widzi on Twój adres i treść wiadomości; dziennik wysyłki przechowuje przez 30 dni. W bazie zapisujemy tylko skrót adresu (HMAC-SHA256 z tajnym kluczem). Ze skrótu nie da się odtworzyć adresu, dlatego nie wysyłamy Ci innych e-maili niż kody logowania.
• W fazie testów: z aplikacji mogą korzystać tylko osoby z listy testerów. Lista też zawiera wyłącznie skróty adresów.
• Podstawa: art. 6 ust. 1 lit. b. Podanie adresu e-mail jest dobrowolne, ale bez niego nie założysz konta, a bez konta nie skorzystasz z aplikacji — poza wbudowanymi instrukcjami SOS i numerami alarmowymi, które działają bez logowania.
• Jak długo: konto — do jego usunięcia albo do upływu 24 miesięcy nieaktywności (bez logowania i bez odświeżenia sesji na żadnym Twoim telefonie). Wyjątek: jeśli jesteś jedynym właścicielem gospodarstwa, z którego w tym czasie korzystali inni członkowie (ich telefony łączyły się z serwerem albo synchronizowały plan), konto liczy się jako aktywne, bo jego usunięcie usunęłoby plan całej rodziny. Nie możemy uprzedzić Cię e-mailem, bo nie mamy Twojego adresu — informacja jest w aplikacji. Dane prośby o kod (skrót adresu, skrót kodu, liczba prób) — 24 godziny (sam kod jest ważny 10 minut); sesje — do wylogowania albo do upływu 60 dni bez użycia.

3.2. Plan rodziny i synchronizacja

• Dane: to, co zapisujesz w aplikacji o swoim gospodarstwie: nazwa gospodarstwa, domownicy (imię, relacja, grupa wiekowa, rok urodzenia, telefon; kategorie potrzeb — tylko po zgodzie, punkt 3.4), zwierzęta, kontakty awaryjne, miejsca i punkty spotkania, plan rodzinny, plecaki i zestawy (pozycje z szablonów związanych ze zdrowiem — tylko po zgodzie, punkt 3.4), zapasy, przypomnienia, informacje o domu (np. gdzie są zawory), lista „Krąg zaufania” (imiona i telefony osób spoza domu) i statusy bezpieczeństwa (np. „zgłoszony jako bezpieczny”, z krótką notatką). Opisy dokumentów (np. gdzie leży oryginał paszportu) trafiają do gospodarstwa tylko wtedy, gdy włączysz opcję „Udostępniaj opisy dokumentów gospodarstwu” w „Zgody i udostępnianie” (punkt 4.1); skanów ani numerów dokumentów aplikacja nie zapisuje.
• Skąd: od Ciebie i innych członków Twojego gospodarstwa.
• Po co: żeby cała rodzina miała ten sam plan na swoich telefonach.
• Jak: telefon szyfruje każdy wpis kluczem gospodarstwa, zanim go wyśle. Klucze dostają tylko telefony członków gospodarstwa — każdy nowy telefon musi najpierw zatwierdzić członek gospodarstwa na swoim telefonie. Serwer przechowuje zaszyfrowane wpisy i informacje techniczne opisane w punkcie 4.3. Nie możemy odczytać treści, przeszukiwać jej ani jej odtworzyć.
• Kto widzi treść: członkowie gospodarstwa, zależnie od roli (Regulamin, §6). Osoby spoza domu nie mają w tej wersji dostępu do aplikacji ani do danych gospodarstwa: lista „Krąg zaufania” jest zwykłym wpisem w Waszym planie, a osoby z listy nie dostają do niej dostępu.
• Statusy rodziny: zgłoszony status jest widoczny dla rodziny po synchronizacji telefonów. Aplikacja nie wysyła ani nie zapisuje potwierdzeń dostarczenia i odczytu.
• Podstawa: art. 6 ust. 1 lit. b.
• Jak długo: do usunięcia wpisu, gospodarstwa albo konta (zob. Usuwanie konta). Poprzednie wersje wpisów, też zaszyfrowane, przechowujemy 90 dni (aplikacja w tej wersji nie pokazuje historii zmian). Statusy bezpieczeństwa usuwamy z serwera po 90 dniach, a gdy czyjeś członkostwo się kończy — od razu te, które go dotyczyły (telefony, które je już mają, zachowują je). Ślad usuniętego wpisu (bez treści: tylko identyfikator i informacja, że wpis usunięto) przechowujemy 180 dni, żeby usunięcie dotarło do wszystkich telefonów.

3.3. Dane o zdrowiu (profile medyczne)

Profil medyczny domownika może zawierać leki, alergie, choroby, grupę krwi, notatki i opis szczególnych potrzeb.

• Domyślnie tylko w telefonie. Profil jest zapisywany w zaszyfrowanej bazie w telefonie i do nas nie trafia. Kartę medyczną (leki, alergie, choroby, grupa krwi, notatki) aplikacja zapisuje dopiero po Twojej zgodzie; cofnięcie tej zgody usuwa kartę z telefonu.
• Udostępnienie osobom z kontem (opcja). Dla profilu osoby dorosłej możesz włączyć udostępnianie osobom z własnym kontem w rodzinie (16+) — w „Ustawienia” → „Konto” → „Zgody i udostępnianie”. Wtedy profil jest szyfrowany osobnym kluczem, który mają tylko telefony osób z kontem — nie telefony dzieci. Serwer przechowuje go wyłącznie jako szyfrogram.
• Profile medyczne dzieci nie są synchronizowane — zostają na telefonie, na którym je zapisano.
• Podstawa: art. 9 ust. 2 lit. a — Twoja wyraźna zgoda, którą wyrażasz w aplikacji przed pierwszym udostępnieniem. Zapisujemy rodzaj zgody, wersję jej tekstu, datę i identyfikator profilu (bez danych medycznych). Profil innej dorosłej osoby udostępniaj tylko wtedy, gdy ta osoba się na to zgadza.
• Wycofanie zgody: w każdej chwili, w aplikacji („Zatrzymaj udostępnianie”) — może to zrobić każda osoba z kontem w rodzinie. Nie wpływa na zgodność z prawem tego, co działo się przed wycofaniem. Po wycofaniu profil jest usuwany z serwera i z telefonów, które go tylko otrzymały, przy ich najbliższej synchronizacji; zostaje tylko lokalnie w telefonie, na którym go wpisano, i w telefonie, z którego zatrzymano udostępnianie. Wcześniejsze zaszyfrowane wersje mogą pozostać w historii zmian do 90 dni i w kopiach zapasowych serwera do 35 dni.

3.4. Kategorie potrzeb domowników

Przy domowniku możesz zaznaczyć kategorie potrzeb, np. „Stałe leki”, „Ograniczona mobilność”, „Choroba przewlekła”, „Słuch”, „Wzrok”. Mogą one pośrednio mówić o zdrowiu, dlatego traktujemy je jak dane o zdrowiu.

• Domyślnie tylko w telefonie. Dopóki nikt nie wyrazi zgody opisanej niżej, kategorie potrzeb są zapisane tylko w zaszyfrowanej bazie w telefonie i do nas nie trafiają.
• Udostępnienie całemu gospodarstwu — po zgodzie. Kategorie synchronizują się z gospodarstwem dopiero wtedy, gdy osoba z kontem wyrazi w aplikacji wyraźną zgodę („Ustawienia” → „Konto” → „Zgody i udostępnianie” → „Kategorie potrzeb zdrowotnych”). Decyzja dotyczy całego gospodarstwa i obowiązuje na wszystkich jego telefonach. Wtedy kategorie są szyfrowane kluczem gospodarstwa i widzą je wszyscy członkowie gospodarstwa: osoby z kontem i połączone telefony dzieci. Serwer przechowuje je wyłącznie jako szyfrogram. Kategorie innej dorosłej osoby udostępniaj tylko wtedy, gdy ta osoba się na to zgadza.
• Podstawa: art. 9 ust. 2 lit. a — wyraźna zgoda. Zapisujemy rodzaj zgody, wersję jej tekstu i datę.
• Wycofanie zgody: w każdej chwili, w aplikacji; nie wpływa na zgodność z prawem tego, co działo się przed wycofaniem. Po wycofaniu żaden telefon gospodarstwa nie wysyła już kategorii ani ich zmian, a z aktualnych wersji profili domowników na serwerze kategorie znikają przy najbliższej synchronizacji. Kategorie, które pozostałe telefony gospodarstwa już otrzymały, zostają w nich, dopóki ktoś ich nie usunie — jeśli mają zniknąć także tam, najpierw usuń je w profilach domowników (ta zmiana trafi do rodziny), a dopiero potem wycofaj zgodę. Wcześniejsze zaszyfrowane wersje mogą pozostać w historii zmian na serwerze do 90 dni i w kopiach zapasowych serwera do 35 dni.

Pozycje plecaków związane ze zdrowiem. Jeśli przy którymś domowniku zaznaczysz np. „Stałe leki”, aplikacja może dodać do plecaka pozycję z szablonu związanego ze zdrowiem (np. „Leki przyjmowane na stałe”). Takie pozycje podlegają tej samej zgodzie co kategorie potrzeb: do jej wyrażenia zostają tylko w telefonie, po wyrażeniu synchronizują się z gospodarstwem, a po wycofaniu przestają być wysyłane — pozycje, które pozostałe telefony już otrzymały, zostają w nich do czasu usunięcia.

3.5. Telefon dziecka

• Dla kogo: w tej wersji aplikacji telefon dziecka jest przeznaczony dla dzieci w wieku 13–15 lat. Dzieci poniżej 13 lat nie są obsługiwane; możemy to zmienić w późniejszej wersji, po analizie prawnej — wtedy zaktualizujemy tę politykę.
• Jak to działa: dziecko nie ma konta ani adresu e-mail. Rodzic lub opiekun, który jest właścicielem albo osobą z własnym kontem w rodzinie, tworzy kod zaproszenia z profilu dziecka, wpisuje go na telefonie dziecka (na ekranie startowym: „Telefon dziecka”) i zatwierdza połączenie na swoim telefonie. Przy połączeniu potwierdza, że dziecko ma co najmniej 13 lat.
• Dane: identyfikator i klucze publiczne telefonu dziecka, system, język aplikacji, członkostwo w gospodarstwie (rola „telefon dziecka” i powiązanie z profilem dziecka), zgoda opiekuna razem z potwierdzeniem, że dziecko ma co najmniej 13 lat (rodzaj, wersja tekstu, data), statusy wysłane z tego telefonu (zaszyfrowane; serwer widzi, którego domownika dotyczą).
• Co widzi telefon dziecka: plan gospodarstwa (a także kategorie potrzeb i opisy dokumentów, jeśli gospodarstwo zgodziło się je udostępniać). Może wysłać tylko własny status. Nie widzi profili medycznych.
• Podstawa: art. 6 ust. 1 lit. b — umowa z rodzicem lub opiekunem, który decyduje o połączeniu telefonu dziecka i wyraża na nie zgodę w aplikacji.
• Jak długo: do odłączenia telefonu dziecka, usunięcia jego członkostwa albo gospodarstwa. Telefon dziecka odłącza właściciel gospodarstwa albo ono samo w ustawieniach tego telefonu (dane planu są wtedy z niego usuwane). Jeśli opiekun, który połączył telefon dziecka, usunie konto, a telefon nadal należy do gospodarstwa, zachowujemy — bez powiązania z jego kontem — zapis zgody opiekuna (rodzaj, wersja tekstu, data), dopóki telefon dziecka jest członkiem gospodarstwa; potem go usuwamy (art. 7 ust. 1 RODO). Niewykorzystane zaproszenia dla telefonów dzieci, które opiekun utworzył, są wtedy zamykane.

3.6. Dane innych osób, które wpisujesz

W aplikacji zapisujesz też dane innych osób: domowników, kontaktów awaryjnych i osób z listy „Krąg zaufania”. Pochodzą one od Ciebie. Na serwerze są wyłącznie jako szyfrogram, którego nie możemy odczytać. Przechowujemy je i przekazujemy telefonom Twojej rodziny, bo o to prosisz w ramach usługi — podstawą jest nasz prawnie uzasadniony interes w świadczeniu tej usługi (art. 6 ust. 1 lit. f). Dane innych dorosłych wpisuj tylko za ich wiedzą.

3.7. Bezpieczeństwo i ciągłość działania serwera

• Dziennik zdarzeń bezpieczeństwa: czas, telefon, gospodarstwo, rodzaj operacji (np. logowanie, zatwierdzenie telefonu, usunięcie) i jej cel (identyfikator) — bez treści i bez adresu IP. Po usunięciu konta zostaje w nim losowy identyfikator konta (bez adresu e-mail). Przechowujemy go 12 miesięcy.
• Logi serwera: metoda i ścieżka żądania (bez parametrów), kod odpowiedzi, rozmiar, czas i adres IP skrócony do /24 (IPv4) lub /48 (IPv6) — bez treści żądań i bez tokenów. Dziennik samej aplikacji serwerowej zawiera tylko kody zdarzeń i identyfikatory, bez adresów IP. Przechowujemy je 14 dni.
• Kopie zapasowe bazy serwera: zaszyfrowane kopie (zawierają szyfrogramy i informacje techniczne z punktu 4.3) przechowywane u dostawcy przechowywania danych z serwerami w Unii Europejskiej. Przechowujemy je do 35 dni (7 kopii dziennych i 4 tygodniowe), potem są usuwane.
• Podstawa: art. 6 ust. 1 lit. f — nasz interes w zapewnieniu bezpieczeństwa i ciągłości usługi, wykrywaniu nadużyć oraz ustaleniu, dochodzeniu lub obronie roszczeń.

3.8. Kontakt z nami, reklamacje i wnioski dotyczące danych

• Dane: adres e-mail, z którego piszesz, treść wiadomości i dane, które sam podasz.
• Po co: żeby odpowiedzieć, rozpatrzyć reklamację albo obsłużyć Twój wniosek (np. o usunięcie konta).
• Podstawa: art. 6 ust. 1 lit. c (obowiązki wynikające z RODO i z przepisów o prawach konsumenta), a w pozostałym zakresie art. 6 ust. 1 lit. f (odpowiedź na wiadomość, obrona przed roszczeniami).
• Jak długo: przez czas potrzebny do załatwienia sprawy, a potem do upływu terminu przedawnienia możliwych roszczeń.
• Skrzynka pocztowa: adres kontaktowy prowadzi LH.pl sp. z o.o. (Polska); dane są przechowywane w Polsce.

3.9. Mapy offline i warstwy online

• Mapa województwa: gdy pobierasz mapę albo oglądasz ją online przed pobraniem, aplikacja pobiera pliki z naszego serwera maps.planawaryjny.app. Serwer zapisuje w logu: adres IP skrócony do /24 (IPv4) lub /48 (IPv6), czas, pobierany plik (czyli region) i kod odpowiedzi — bez parametrów adresu, bez strony odsyłającej i bez rodzaju aplikacji. Przechowujemy je 14 dni. Podstawa: art. 6 ust. 1 lit. f (bezpieczeństwo i działanie serwera).
• Dodatkowe warstwy online (np. ortofotomapa, zagrożenie pożarowe lasów, zagrożenie powodziowe): gdy je włączysz, telefon pobiera fragmenty map bezpośrednio z serwisów instytucji publicznych — GUGiK (Geoportal), Lasy Państwowe (Bank Danych o Lasach) i Wody Polskie (ISOK). Te serwisy widzą adres IP telefonu i oglądany obszar mapy i przetwarzają je na własnych zasadach, jako odrębni administratorzy. Nie przekazujemy im żadnych innych danych.

3.10. Strona internetowa planawaryjny.app

Strona nie używa plików cookie, analityki ani zewnętrznych skryptów i czcionek. Serwer zapisuje logi: adres IP skrócony do /24 (IPv4) lub /48 (IPv6), czas, adres podstrony (bez parametrów) i kod odpowiedzi — bez strony odsyłającej i bez rodzaju przeglądarki. Przechowujemy je 14 dni. Podstawa: art. 6 ust. 1 lit. f (bezpieczeństwo i działanie strony).

3.11. Sklepy z aplikacjami

Aplikację pobierasz z App Store (Apple) albo Google Play (Google). Te firmy przetwarzają Twoje dane jako odrębni administratorzy, na swoich zasadach. Mogą nam udostępniać zbiorcze statystyki (np. liczbę instalacji) oraz — jeśli zgodzisz się na to w ustawieniach telefonu — systemowe raporty o awariach aplikacji. Nie dostajemy od nich Twojego adresu e-mail ani danych zapisanych w aplikacji.

3.12. Okresy przechowywania — zestawienie

4. Co zostaje w telefonie, a co trafia na serwer

4.1. Tylko w telefonie

• profile medyczne, chyba że dla profilu osoby dorosłej włączysz udostępnianie osobom z kontem w rodzinie; profile medyczne dzieci zawsze;
• kategorie potrzeb domowników i pozycje plecaków z szablonów związanych ze zdrowiem, dopóki osoba z kontem nie wyrazi zgody na ich udostępnienie gospodarstwu (punkt 3.4);
• opisy dokumentów (np. gdzie leży oryginał paszportu) — domyślnie; gospodarstwo może włączyć ich udostępnianie („Ustawienia” → „Konto” → „Zgody i udostępnianie”), wtedy synchronizują się zaszyfrowane, a wyłączenie dotyczy całego gospodarstwa (opisy, które telefony rodziny już otrzymały, zostają na nich do usunięcia); skanów i numerów dokumentów aplikacja nigdy nie zapisuje;
• ustawienia aplikacji, dziennik zdarzeń w telefonie (bez treści), postęp w instrukcjach SOS i pobrane mapy;
• klucz szyfrowania bazy i prywatne klucze telefonu — w bezpiecznym magazynie systemu (Keychain na iOS, Keystore na Androidzie);
• kod odzyskiwania — aplikacja go nie zapisuje; masz go tylko Ty;
• pliki, które eksportujesz (PDF planu, zaszyfrowana kopia .pabak) — trafiają tylko tam, gdzie je zapiszesz albo komu je wyślesz.

4.2. Na serwerze, zaszyfrowane (nie możemy tego odczytać)

• dane gospodarstwa z punktu 3.2;
• kategorie potrzeb domowników i pozycje plecaków z szablonów związanych ze zdrowiem — po zgodzie z punktu 3.4;
• profile medyczne osób dorosłych udostępnione osobom z kontem w rodzinie;
• opisy dokumentów, jeśli gospodarstwo włączy ich udostępnianie;
• poprzednie wersje wpisów (90 dni);
• zaszyfrowany podgląd zaproszenia (kto zaprasza i do jakiej roli);
• klucze gospodarstwa zaszyfrowane osobno dla każdego zatwierdzonego telefonu.

4.3. Na serwerze, widoczne dla serwera (informacje techniczne)

Tych informacji serwer potrzebuje, żeby przekazywać dane właściwym telefonom i pilnować uprawnień:

• skrót adresu e-mail (HMAC), język, data założenia konta i ostatniej aktywności;
• telefony: identyfikator, system, język, klucze publiczne, daty dodania, ostatniej aktywności i odłączenia;
• gospodarstwa i członkostwa: kto należy do którego gospodarstwa, w jakiej roli, z którym profilem domownika jest powiązany, daty i status (także „opuścił”); zgody (rodzaj, wersja tekstu, daty);
• zaproszenia i prośby o dołączenie (skrót kodu zaproszenia, daty), certyfikaty telefonów i ich odwołania;
• przy każdym wpisie: rodzaj (np. „kontakty”), identyfikator, wersja, czas zmiany, rozmiar szyfrogramu, który telefon go zapisał, podpis i to, czy wpis usunięto;
• przy statusie bezpieczeństwa: którego domownika dotyczy i czy oznaczono go jako pilny — bez treści statusu;
• sesje (skróty tokenów, daty), dane próśb o kod (punkt 3.1), dziennik zdarzeń bezpieczeństwa i logi (punkt 3.7).

Tokenów powiadomień push nie zbieramy — ta wersja aplikacji nie korzysta z powiadomień push. Przypomnienia planuje sam telefon.

Skrót tej listy — co trafia na serwer, a co zostaje w telefonie — pokazuje aplikacja na ekranie logowania („Co trafia na serwer, a co zostaje w telefonie”).

5. Komu przekazujemy dane

Podmioty przetwarzające — działają na nasze polecenie, na podstawie umów powierzenia (art. 28 RODO):

Dostawcy przechowywania kopii zapasowych nie wskazujemy z nazwy; gdy go wybierzemy albo zmienimy któregokolwiek z podmiotów przetwarzających, zaktualizujemy tę politykę.

Inni odbiorcy:

• członkowie Twojego gospodarstwa — widzą to, co udostępniasz w gospodarstwie, zgodnie ze swoją rolą;
• Apple i Google — jako operatorzy sklepów, na własnych zasadach (punkt 3.11);
• instytucje publiczne udostępniające warstwy map — tylko gdy z nich korzystasz (punkt 3.9);
• sądy, prokuratura, policja i inne organy — tylko gdy wymaga tego prawo. Przekazujemy wyłącznie to, co mamy; treści zaszyfrowanej nie możemy odczytać.

Nie sprzedajemy danych i nie przekazujemy ich reklamodawcom.

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

• Serwer aplikacji działa w centrum danych OVHcloud w Warszawie (Polska), czyli w Europejskim Obszarze Gospodarczym. Kopie zapasowe są przechowywane na serwerach w Unii Europejskiej. Skrzynkę kontaktową prowadzi firma z Polski.
• Resend, Inc. ma siedzibę w USA. Nasza domena nadawcza korzysta z regionu UE (Irlandia), ale dostęp do danych ze Stanów Zjednoczonych (np. przy wsparciu technicznym) jest możliwy. Podstawą przekazania są standardowe klauzule umowne Unii Europejskiej (art. 46 ust. 2 lit. c RODO; umowa powierzenia Resend, pkt 6.2). Dodatkowo Resend uczestniczy w programie EU-U.S. Data Privacy Framework.
• Kopię zabezpieczeń przekazania możesz otrzymać, pisząc do nas (punkt 2).

7. Dzieci

• Aplikacja jest przeznaczona dla rodzin i dorosłych, którzy je przygotowują. Konto może założyć osoba, która ukończyła 16 lat. W App Store i Google Play grupa docelowa aplikacji obejmuje osoby w wieku 16–17 lat i dorosłych; aplikacja nie uczestniczy w programach sklepów dla dzieci poniżej 13 lat.
• Dzieci w wieku 13–15 lat nie zakładają konta i nie podają adresu e-mail. O połączeniu telefonu dziecka z rodziną decyduje rodzic lub opiekun: wyraża zgodę w aplikacji i potwierdza, że dziecko ma co najmniej 13 lat (to deklaracja opiekuna — wieku nie weryfikujemy technicznie). Zapisujemy tę zgodę i potwierdzenie razem z wersją ich tekstu. Telefon dziecka może w każdej chwili odłączyć właściciel gospodarstwa.
• Dzieci poniżej 13 lat nie są w tej wersji obsługiwane — nie łącz ich telefonów z rodziną. Obsługę młodszych dzieci możemy dodać w późniejszej wersji, po analizie prawnej.
• Dane dziecka (np. imię, grupa wiekowa, kategorie potrzeb, profil medyczny) wpisuje rodzic lub opiekun. Kategorie potrzeb dziecka trafiają do gospodarstwa tylko po zgodzie osoby z kontem (punkt 3.4). Profile medyczne dzieci nie opuszczają telefonu, na którym je zapisano.
• Nie profilujemy dzieci i nie pokazujemy im reklam.

8. Jak chronimy dane

• Szyfrowanie end-to-end danych gospodarstwa (XChaCha20-Poly1305, podpisy Ed25519). Klucze są tylko na telefonach. Nowy telefon dostaje klucze dopiero wtedy, gdy członek gospodarstwa zatwierdzi go na swoim telefonie po sprawdzeniu kodu przekazanego poza serwerem — dlatego nawet ktoś, kto przejmie serwer, nie podmieni kluczy.
• Zaszyfrowana baza w telefonie (SQLCipher). Klucz 256-bitowy powstaje w telefonie, jest przechowywany w bezpiecznym magazynie systemu, dostępny tylko przy odblokowanym telefonie i nie trafia do kopii systemowej (iCloud, kopia Google).
• Blokada aplikacji (opcjonalna) biometrią lub kodem telefonu. Instrukcje SOS i numery alarmowe są dostępne bez odblokowania. Na ekranach z danymi o zdrowiu i z kodami odzyskiwania aplikacja na Androidzie blokuje zrzuty ekranu; opcja „Ukryj podgląd aplikacji” w ustawieniach blokady chowa treść także w przełączniku aplikacji.
• Zaszyfrowana kopia .pabak chroniona wygenerowanym kodem odzyskiwania (120 bitów); domyślnie bez danych medycznych.
• Transmisja wyłącznie przez HTTPS (TLS).
• Minimalizacja: adres e-mail tylko jako skrót, brak treści w logach, skrócone adresy IP, limity prób logowania. Aplikacja nie prosi o dostęp do lokalizacji, kontaktów, aparatu ani mikrofonu.
• Serwer: osobny użytkownik systemowy z ograniczonymi uprawnieniami, osobna baza danych, zapora sieciowa.
• Granice ochrony — uczciwie: serwer widzi informacje techniczne z punktu 4.3. Osoba usunięta z gospodarstwa mogła zachować dane, które już widziała. Jeśli stracisz wszystkie telefony rodziny i kod odzyskiwania, zaszyfrowanych danych nie da się odzyskać — my też nie mamy do nich klucza.
• Naruszenie ochrony danych zgłaszamy Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by powodowało ryzyko dla osób, których dane dotyczą. Ciebie zawiadamiamy, gdy wymaga tego prawo (art. 33 i 34 RODO).

9. Twoje prawa

Masz prawo:

• dostępu do danych i ich kopii (art. 15) — w aplikacji („Ustawienia” → „Konto” → „Pobierz moje dane”, po potwierdzeniu kodem z e-maila) pobierzesz plik JSON z tym, co serwer przechowuje o Twoim koncie; treści planu w nim nie ma (jest zaszyfrowana), ale widzisz ją w aplikacji i możesz wyeksportować (PDF, kopia .pabak);
• sprostowania (art. 16) — dane poprawisz w aplikacji;
• usunięcia (art. 17) — w ustawieniach aplikacji („Usuń konto”) albo e-mailem, zob. Usuwanie konta;
• ograniczenia przetwarzania (art. 18);
• przenoszenia danych (art. 20) — przez eksport w aplikacji;
• sprzeciwu (art. 21) wobec przetwarzania na podstawie naszego prawnie uzasadnionego interesu (np. dziennik zdarzeń bezpieczeństwa). Uwzględnimy go, chyba że wykażemy ważne prawnie uzasadnione podstawy, np. bezpieczeństwo usługi;
• wycofania zgody (art. 7 ust. 3) — na udostępnianie profilu medycznego albo kategorii potrzeb — w dowolnym momencie, w aplikacji („Ustawienia” → „Konto” → „Zgody i udostępnianie”), bez wpływu na zgodność z prawem przetwarzania przed wycofaniem.

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu (art. 22).

Jak skorzystać z praw: w aplikacji albo pisząc na adres z punktu 2. Odpowiemy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca; w złożonych sprawach termin może się wydłużyć o kolejne dwa miesiące — wtedy Cię o tym poinformujemy. Możemy poprosić o potwierdzenie, że adres e-mail należy do Ciebie. Treści zaszyfrowanej nie możemy odczytać, więc na wniosek przekażemy informacje techniczne i szyfrogramy, które mamy; treść odczytasz w aplikacji.

10. Skarga do organu nadzorczego

Jeśli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl). Zachęcamy, żeby najpierw napisać do nas — postaramy się pomóc.

11. Zmiany polityki

Politykę zmieniamy, gdy zmienia się aplikacja, nasi dostawcy albo przepisy. Ponieważ nie przechowujemy Twojego adresu e-mail, o istotnych zmianach informujemy w aplikacji i na stronie planawaryjny.app, zanim wejdą w życie. Jeśli zmiana wymaga Twojej zgody, poprosimy o nią w aplikacji. Poprzednie wersje udostępnimy na prośbę.

12. Wersja dokumentu

Wersja 1.1 z 7 listopada 2026 r. Obowiązuje od: 7 listopada 2026 r. Zmiana względem wersji 1.0 z 6 listopada 2026 r.: dopisaliśmy nazwę dewelopera, pod którą aplikacja jest publikowana w Google Play (punkt 1). Sposób przetwarzania danych się nie zmienił.