Polityka prywatności

Administrator danych

Aplikację Cheflex prowadzę ja, Martin Papoušek, przedsiębiorca – osoba fizyczna prowadząca działalność gospodarczą, z siedzibą pod adresem Bezručova 4201, 430 03 Chomutov, Czechy, numer identyfikacyjny (IČO) 05006864. Kontakt w sprawach ochrony danych osobowych: cheflex@email.cz.

Danych, które masz w aplikacji w telefonie, nie widzę i nie jestem ich administratorem — kontrolę nad nimi masz tylko ty. Administratorem danych jestem wyłącznie w zakresie tego, co wyślesz mi mailem albo przez Uwagi, weryfikacji zakupu, zaszyfrowanych paczek na serwerze łączącym telefony oraz danych technicznych związanych z działaniem strony.

Co aplikacja zapisuje w telefonie

Aplikacja pracuje na danych, które wpiszesz ty, i trzyma je wyłącznie w pamięci urządzenia: liczbę domowników oraz ich imiona lub pseudonimy; przy każdym domowniku wiek, płeć, wzrost, wagę, poziom ruchu i wybrany cel; alergie, diety i produkty, których nie jesz; oceny składników i kuchni z ankiety smaków; ułożone jadłospisy, listy zakupów i odhaczone pozycje; oceny ugotowanych już dań i własne notatki do przepisów; pięć ostatnich błędów technicznych aplikacji (treść błędu i miejsce w kodzie — na potrzeby Uwag, nic z twoich danych).

Część z nich to dane dotyczące zdrowia w rozumieniu art. 9 RODO — zwykle waga i alergie. Właśnie dlatego zostają w telefonie i nigdzie nie są wysyłane. Jedynym wyjątkiem jest połączenie z Zawodnikiem, które włączasz wyłącznie ty: parametry ciała i alergie domownika trafiają w postaci zaszyfrowanej tylko na jego własny telefon (część „Połączenie dwóch telefonów”).

Na telefonie Zawodnika jest kopia tego, co wysyła mu główny telefon: ułożone dania, lista zakupów, imiona, zwierzątka, podział porcji i kciuki domowników, notatki domu do tych dań oraz parametry ciała i alergie tylko tej osoby, do której ten telefon należy. Po zerwaniu połączenia aplikacja zaproponuje Zawodnikowi nowy kod zaproszenia albo własny dom; jedno i drugie usuwa kopię i zostawia tylko kciuki tej osoby (przy własnym domu także jej dane). Dopóki nie wybierze, kopia zostaje w telefonie; usuwa ją też odinstalowanie aplikacji.

Lustro — drugie urządzenie osoby, która prowadzi dom — dostaje cały dom, łącznie z danymi o ciele i alergiami wszystkich domowników, tak jak widać je na głównym telefonie.

Dane z aplikacji zapisują się w pamięci aplikacji w telefonie, a nie w plikach cookie. Kiedy odinstalujesz aplikację, zniknie wszystko. Kopii nie mam i nie umiem ich przywrócić. Uwaga na kopie zapasowe telefonu: jeśli masz włączoną kopię w iCloud albo na Dysku Google, może się w niej przez jakiś czas trzymać kopia danych aplikacji — to kopia zapasowa twojego telefonu, do której nie mam dostępu.

W Menu znajdziesz „Usuń wszystkie dane” — jedno potwierdzenie i znika wszystko, co aplikacja wie o tobie i o waszym domu.

Dokąd trafiają dane

Dane o tobie i twoim domu nie trafiają nigdzie. Aplikacja nie ma kont, nie używa żadnych bibliotek reklamowych ani analitycznych, nie zbiera identyfikatorów urządzenia ani lokalizacji i nie prosi o dostęp do kontaktów, zdjęć ani aparatu (kod QR zaproszenia odczytuje aparat telefonu, nie aplikacja). Na zewnątrz trafiają tylko anonimowe statystyki, jeśli je włączysz, w aplikacji ze sklepu to, co jest potrzebne do zakupu pełnej wersji, a gdy połączysz telefony z Zawodnikiem — zaszyfrowane paczki dla drugiego telefonu; wszystko to opisuję niżej. Ostatnim wyjątkiem jest wiadomość, którą wyślesz mi z Uwag.

Anonimowe statystyki — tylko jeśli je włączysz

Żeby Cheflex dało się ulepszać według tego, jak naprawdę się z niego korzysta, aplikacja potrafi liczyć, ile razy coś się wydarzyło — na przykład że ukończono kreator, ułożono jadłospis, otwarto przepis, użyto listy zakupów albo że aplikacja natrafiła na błąd (tylko ile razy, nie co się stało). Liczy też, ile razy wyświetliła się oferta pełnej wersji, ile razy stuknięto w niej w zakup i ile razy zakup się udał — tylko liczby, nic o samym zakupie. Raz dziennie wysyła wtedy podsumowanie tych liczb z minionych dni na mój serwer cheflex.app.

Statystyki są wyłączone, dopóki ich nie włączysz — na ekranie powitalnym, po zakończeniu pierwszego okresu, kiedy raz o to zapytam, albo w każdej chwili w Menu → Anonimowe statystyki. Dopóki są wyłączone, aplikacja niczego nie liczy i niczego w tym celu nie zapisuje w telefonie. Kiedy je wyłączysz, usunie się też to, co jeszcze czekało na wysłanie, a aplikacja działa dalej dokładnie tak samo.

Do liczb dołącza tylko język, wersję aplikacji, typ urządzenia (Android, iPhone albo web oraz czy to telefon, tablet, czy komputer), dla ilu osób gotujesz w aplikacji (od 1 do 4), czy masz odblokowaną pełną wersję, czy aplikacja liczy kalorie, czy podsuwa tylko pomysły, i od jak dawna masz włączone statystyki (pierwszy dzień, do tygodnia, do miesiąca, dłużej). Kiedy otworzysz aplikację pierwszy raz w nowym tygodniu, w nowym miesiącu albo w ogóle pierwszy raz, liczy to jako jedynkę — dzięki temu da się policzyć, na ilu urządzeniach działa aplikacja, bez żadnego identyfikatora.

Nigdy nie wysyła imion, wieku, wagi, celów, alergii, smaków, nazw dań ani tego, czego szukasz. Nie ma żadnego identyfikatora urządzenia ani instalacji, a podsumowania nie mają daty ani godziny. Baza pomiarów sama zapisuje czas, w którym podsumowanie dotarło; używam go wyłącznie do dziennych zliczeń, a po 90 dniach zostaje usunięty. Żądanie do serwera doręcza Cloudflare, który na krótko przetwarza adres IP w celu ochrony przed atakami; przy liczbach go nie przechowuję. Z tych danych nie da się więc ustalić, kto je wysłał — nie są to dane osobowe (motyw 26 RODO), dlatego nie można ich też wydać ani usunąć na żądanie.

Zbiorcze liczby mogę przechowywać i wykorzystywać bez ograniczeń — do rozwoju aplikacji i jako część Cheflexu, gdyby kiedyś przejął go ktoś inny.

Zakup pełnej wersji

Żeby aplikacja wiedziała, że pełna wersja jest opłacona, sprawdza zakup w App Store albo Google Play przez usługę RevenueCat (RevenueCat, Inc., USA), która obsługuje dla mnie zakupy jako podmiot przetwarzający. RevenueCat dostaje losowy identyfikator zakupu, który tworzy aplikacja, potwierdzenie zakupu od sklepu i dane techniczne potrzebne do jego sprawdzenia (typ urządzenia, wersję systemu, adres IP). Nie dostaje twojego imienia, e-maila ani niczego z tego, co masz w aplikacji. Zapis o zakupie jest przechowywany, dopóki aplikacja istnieje — na jego podstawie pełna wersja jest przywracana na kolejnym telefonie; wcześniej nie da się go usunąć, bo razem z nim zniknęłoby przywracanie.

Dane są przetwarzane w celu realizacji zakupu, który zamawiasz (art. 6 ust. 1 lit. b RODO). Z tych samych danych RevenueCat pokazuje mi zbiorcze zestawienia zakupów (ile i w jakim kraju), żebym wiedział, czy aplikacja pokrywa koszty — to mój prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO). Ich przekazanie do USA zabezpieczają standardowe klauzule umowne UE, które są częścią umowy z podmiotem przetwarzającym.

Połączenie dwóch telefonów (Kapitan i Zawodnicy)

Gdy połączysz główny telefon z telefonem Zawodnika, przesyłają one sobie przez serwer połączeń (cheflex.app, działa w Cloudflare) paczki danych: główny telefon — stan domu, Zawodnik — odhaczone zakupy, kciuki i zmiany własnych parametrów ciała. Każda paczka jest szyfrowana jeszcze w telefonie (AES-256-GCM) kluczem, który powstaje z zaproszenia i którego serwer nigdy nie dostaje. Treści — imion, dań, liczb, kciuków — nie widzę więc ani ja, ani Cloudflare.

Lustru (drugiemu urządzeniu Kapitana) główny telefon wysyła cały stan domu. Gdy lustro przejmie opaskę kapitana, dostaje też zaszyfrowane klucze połączenia, żeby mogło dalej prowadzić dom.

Co widzi serwer: losowe oznaczenie skrzynki i telefonu (nic nie zdradza, czyje są), skrót hasła do skrzynki, rodzaj wiadomości (np. dołączenie lub odłączenie telefonu) i jej adresata, rozmiar i czas paczek oraz adres IP, z którego łączy się telefon — ten Cloudflare przez krótki czas przechowuje w logach, tak jak przy stronie. Treści paczek nigdzie nie zapisuję. Liczę tylko, ile połączeń i wiadomości odbyło się danego dnia, bez żadnego oznaczenia. Przeciw nadużyciom serwer liczy zakładanie skrzynek i zaproszeń także według skrótu adresu IP z losową solą — trzymany tylko w pamięci serwera, nigdzie niezapisywany i znikający najpóźniej następnego dnia.

Jak długo: zaproszenie 10 minut albo do użycia, paczki najwyżej 30 dni, nieużywana skrzynka 180 dni. Usunięcie danych na głównym telefonie od razu usuwa skrzynkę, jeśli telefon jest akurat online. Po odłączeniu telefonu stara skrzynka znika, gdy tylko odezwą się pozostałe połączone telefony. W przeciwnym razie serwer sam ją sprzątnie po upływie tych terminów.

Paczek nie odczytam, ale i tak traktuję je jak dane osobowe. Przetwarzam je tylko po to, żeby udostępnić ci połączenie, które włączasz (art. 6 ust. 1 lit. b RODO), a dane techniczne — w celu bezpiecznego działania (art. 6 ust. 1 lit. f RODO). W przypadku parametrów ciała i alergii podstawą jest twoja wyraźna zgoda (art. 9 ust. 2 lit. a RODO), którą wyrażasz wprost na telefonie Zawodnika przy łączeniu — aplikacja mówi tam przy przycisku, co będzie wysyłane; wycofasz ją, zrywając połączenie.

Serwer prowadzi dla mnie Cloudflare, Inc. jako podmiot przetwarzający. Przekazanie danych do USA opiera się na unijno-amerykańskich ramach ochrony danych (Data Privacy Framework), tak samo jak przy stronie.

Kiedy do mnie napiszesz

Wiadomość z Uwag wysyłasz ze swojego adresu e-mail — aplikacja tylko otwiera twój program pocztowy z gotowym tekstem, a wiadomość wychodzi dopiero wtedy, gdy ją wyślesz. Dostaję ją tylko ja. Przetwarzam wtedy treść wiadomości i twój adres e-mail, bo muszę na nią odpowiedzieć (prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO). Skrzynkę cheflex@email.cz zapewnia mi Seznam.cz, a.s., a wiadomości są przechowywane na jego serwerach w UE.

Do każdej wiadomości dołącza się nagłówek techniczny: wersja aplikacji i danych, język, motyw, typ urządzenia i przeglądarki, godzina oraz ostatnie błędy techniczne aplikacji, jeśli jakieś były (treść błędu i miejsce w kodzie, nic z twoich danych). Bez niego błędu nie da się odtworzyć, dlatego dołącza się zawsze.

Kiedy zaznaczysz „Dołącz ustawienia domu”, dojdzie do tego podsumowanie bez imion: ilu was jest, przy każdym dorosłym cel, waga, ruch i wykluczone składniki, przy dzieciach tylko wielkość porcji, a do tego tryb aplikacji, smaki, posiłki, długość okresu i dzień zakupów. To dane dotyczące zdrowia, dlatego wysyłają się tylko za twoją wyraźną zgodą (art. 9 ust. 2 lit. a RODO), którą wyrażasz, zaznaczając to pole. Zaznaczając je, potwierdzasz, że masz co najmniej 16 lat i że pozostali domownicy o tym wiedzą i się zgadzają — poinformowanie ich należy do ciebie. Bez załącznika pomogę ci tak samo chętnie.

Wiadomość usuwam, gdy sprawa jest załatwiona, najpóźniej po dwóch latach.

Twoje prawa i jak poprosić o usunięcie

Jako osoba, której dane dotyczą, masz zgodnie z RODO prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz prawo sprzeciwu. W przypadku tego, co masz w aplikacji, korzystasz z nich bezpośrednio w telefonie — u mnie nie istnieje żadna kopia, więc nie mogę ci jej wydać ani usunąć jej za ciebie. Wobec przetwarzania, które opieram na prawnie uzasadnionym interesie — e-mail, który do mnie wyślesz, i dane techniczne strony — możesz w każdej chwili wnieść sprzeciw; wystarczy napisać.

W przypadku wiadomości, które do mnie przyszły, napisz na cheflex@email.cz z tego samego adresu, z którego przyszła wiadomość — wystarczy zdanie „proszę o usunięcie mojej wiadomości z (data)”. Tym samym wycofujesz zgodę na załącznik. W ciągu miesiąca usunę wiadomość ze skrzynki razem z moimi odpowiedziami i dam ci znać. Jeśli napiszesz z innego adresu, najpierw upewnię się na tym pierwotnym. Tak samo możesz zapytać, co o tobie mam, albo poprosić o poprawienie czegoś.

Gdybyśmy się nie dogadali, możesz wnieść skargę do czeskiego Urzędu Ochrony Danych Osobowych (uoou.gov.cz; w Polsce Prezes Urzędu Ochrony Danych Osobowych, uodo.gov.pl) albo do organu nadzorczego w swoim kraju — zwykle tam, gdzie mieszkasz lub pracujesz (art. 77 RODO).

Strona

Strona cheflex.app działa w sieci Cloudflare. Przy każdej wizycie Cloudflare przetwarza dane techniczne, bez których nie mógłby dostarczyć strony ani chronić jej przed atakami — przede wszystkim adres IP, typ przeglądarki i czas żądania — i przez krótki czas przechowuje je w logach. Cloudflare to firma amerykańska; przekazywanie danych do USA opiera się na unijno-amerykańskich ramach ochrony danych (Data Privacy Framework). Odbywa się to na podstawie mojego prawnie uzasadnionego interesu w bezpiecznym prowadzeniu strony (art. 6 ust. 1 lit. f RODO).

Strona nie używa plików cookie ani pomiaru odwiedzin. W pamięci przeglądarki (localStorage) zapisuje tylko język i wygląd strony (ciemna lub jasna koszulka), jeśli przełączysz je ręcznie. Nic z tego nie jest nigdzie wysyłane, a usuniesz to, czyszcząc dane witryny w ustawieniach przeglądarki.

Pokaz aplikacji na stronie głównej pyta o wagę, płeć, cel i poziom ruchu, żeby pokazać, co aplikacja wyliczy. Wszystko to liczy tylko twoja przeglądarka: pokaz niczego nie zapisuje, niczego nie wysyła i nie liczy statystyk. Po odświeżeniu albo zamknięciu strony znika wszystko, co do niego wpiszesz.

Strona cheflex.app/p, do której prowadzi link z zaproszenia, nie wysyła kodu z linku na serwer — przeglądarka zatrzymuje część po znaku # u siebie. Strona niczego nie zapisuje i niczego nie mierzy.

Dane, które mają o tobie sklepy z aplikacjami

Pobranie i ewentualny zakup obsługuje Apple (App Store) albo Google (Google Play). Przetwarzają one dane o pobraniu, płatności i ewentualnej awarii aplikacji według własnych zasad, na które nie mam wpływu i do których nie mam dostępu w postaci pozwalającej cię zidentyfikować. Ich zasady znajdziesz bezpośrednio u nich.

Jak długo co jest przechowywane

W telefonie: zakupy i ugotowane dania trzy miesiące wstecz, potem się usuwają. Historia ocen dań — rok. Ostatni kciuk przy przepisie zostaje, dopóki go nie zmienisz — po nim widać, że danie się nie sprawdziło, i tak ma zostać. Gdy w Menu wybierzesz „Usuń historię i oceny”, znikną wszystkie oceny, a wyłączone przepisy znów się włączą. Wszystko inne — dopóki tego nie usuniesz albo nie odinstalujesz aplikacji.

U mnie: wiadomości z e-maila najwyżej dwa lata; zapis o zakupie w RevenueCat — dopóki aplikacja istnieje (inaczej nie dałoby się go przywrócić); zaszyfrowane paczki połączenia telefonów najwyżej 30 dni, nieużywana skrzynka 180 dni.

Dzieci

Aplikacja nie jest przeznaczona do samodzielnego korzystania przez dzieci poniżej 16 lat. Domownikiem może być też dziecko — jego dane wpisuje wtedy rodzic albo inny przedstawiciel ustawowy i obowiązuje to samo: zostają w telefonie.

Zmiany tych zasad

Jeśli aplikacja zmieni się tak, że zmieni się też przetwarzanie danych, poprawię te zasady i datę u góry, a co najmniej miesiąc wcześniej uprzedzę o tym na cheflex.app i w informacjach o aktualizacji aplikacji. O istotnej zmianie — na przykład gdyby z telefonu zaczął wychodzić kolejny rodzaj danych — poinformuję też w aktualizacji aplikacji, a nie tylko cichą poprawką strony.