01 Administrator danych
Administratorem Twoich danych osobowych jest:
Paweł Kobylak
Adres: Ul. Olkuska 11/1
NIP: PL5862149062
E-mail: support@brace-buddy.com
Sprawy RODO: privacy@brace-buddy.com
02 Jakie dane zbieramy i skąd
Przetwarzamy dane podawane nam bezpośrednio podczas rejestracji i korzystania z Aplikacji:
| Kategoria | Przykładowe dane | Źródło |
|---|---|---|
| Dane konta | Adres e-mail, hasło (hash), data rejestracji, strefa czasowa, język | Rejestracja |
| Dane gorsetu | Czas założenia/zdjęcia, łączny czas noszenia, cel dobowy | Aplikacja |
| Dane ćwiczeń | Typ ćwiczenia, czas trwania, data | Aplikacja |
| Dane bólu | Poziom bólu (1–10), lokalizacja, opcjonalna notatka | Aplikacja |
| Dane dziecka | Imię (bez nazwiska), data urodzenia, kąt Cobba, typ gorsetu, kolor profilu | Opiekun – tworzenie profilu |
| Dane techniczne | Adres IP (rejestracja), user-agent, znaczniki czasowe | Automatycznie |
| Dane diagnostyczne | Raporty błędów (crash reports), anonimowe statystyki użytkowania | Sentry, Firebase Analytics |
Nie zbieramy: nazwisk, numerów PESEL, numerów ubezpieczenia, danych kart płatniczych ani szczegółowych dokumentacji medycznych.
03 Cele i podstawy prawne przetwarzania
| Cel | Dane | Podstawa prawna |
|---|---|---|
| Rejestracja i uwierzytelnianie | E-mail, hasło-hash | Art. 6(1)(b) – wykonanie umowy |
| Świadczenie Usługi (gorset, ćwiczenia, ból) | Dane zdrowotne, dane dziecka | Art. 6(1)(a) + Art. 9(2)(a) – wyraźna zgoda |
| Synchronizacja danych między urządzeniami | Wszystkie dane | Art. 6(1)(b) – wykonanie umowy |
| Powiadomienia push | Token FCM, ustawienia | Art. 6(1)(b) + Art. 6(1)(a) – zgoda |
| Obsługa reklamacji i wsparcie | E-mail, treść zgłoszenia | Art. 6(1)(b) + Art. 6(1)(c) |
| Diagnostyka błędów (Sentry) | Zanonimizowane raporty | Art. 6(1)(f) – uzasadniony interes |
| Statystyki użytkowania (Firebase Analytics) | Zanonimizowane dane nawigacji | Art. 6(1)(a) – zgoda (opt-in) |
| Obowiązki prawne | Logi audytowe | Art. 6(1)(c) – obowiązek prawny |
04 Dane dotyczące zdrowia (Art. 9 RODO)
Dane o noszeniu gorsetu, ćwiczeniach rehabilitacyjnych, bólu i dyskomforcie to szczególna kategoria danych — dane dotyczące zdrowia w rozumieniu art. 9 RODO.
Podstawą prawną przetwarzania tych danych jest Twoja wyraźna zgoda wyrażona przy rejestracji (art. 9 ust. 2 lit. a RODO). Zgoda jest dobrowolna — możesz ją wycofać w każdej chwili, żądając usunięcia konta.
🔒 Szyfrowanie: Dane zdrowotne są szyfrowane algorytmem AES-256-GCM zarówno w trakcie transmisji (TLS 1.3), jak i w spoczynku na serwerze.
05 Dane dzieci (art. 8 RODO)
Profile Dzieci tworzone są wyłącznie przez Opiekunów (rodziców lub prawnych opiekunów) — Dziecko nie rejestruje się samodzielnie.
Zgodnie z art. 7 polskiej ustawy o ochronie danych osobowych, do przetwarzania danych Dzieci poniżej 13. roku życia wymagana jest wyraźna zgoda rodzica lub opiekuna prawnego. Tworząc Profil Dziecka poniżej 13. roku życia, Opiekun wyraża taką zgodę.
Opiekun ma pełną kontrolę nad danymi Dziecka — prawo do przeglądania, modyfikowania i usunięcia.
06 Przekazywanie danych do państw trzecich
Korzystamy z dostawców mających siedzibę lub serwery poza EOG. Przekazywanie odbywa się z zachowaniem odpowiednich zabezpieczeń:
| Dostawca | Lokalizacja | Zabezpieczenie |
|---|---|---|
| Firebase (Google Ireland Ltd) | Serwery EU; backup US | EU-U.S. Data Privacy Framework + SCC |
| Sentry (Functional Software Inc.) | USA | EU-U.S. Data Privacy Framework + SCC |
07 Podmioty przetwarzające (procesory)
Powierzamy przetwarzanie danych następującym podmiotom na podstawie umów powierzenia (art. 28 RODO):
| Podmiot | Rola | Dane |
|---|---|---|
| Google Firebase Google Ireland Ltd | Powiadomienia push (FCM), statystyki (Analytics) | Token urządzenia, zanonimizowane zdarzenia |
| Sentry Functional Software Inc. | Monitoring błędów (crash reporting) | Raporty błędów (bez PII po konfiguracji) |
| Hetzner Online GmbH | Hosting infrastruktury serwerowej | Wszystkie dane backendowe |
08 Okresy przechowywania danych
| Kategoria danych | Okres przechowywania |
|---|---|
| Dane konta (aktywne) | Do usunięcia konta przez użytkownika |
| Dane zdrowotne (gorset, ćwiczenia, ból) | Do usunięcia konta + 30 dni karencji |
| Konto po żądaniu usunięcia | 30-dniowy okres karencji (odwracalne), następnie trwałe usunięcie |
| Logi systemowe i audytowe | 90 dni |
| Raporty błędów (Sentry) | 90 dni |
| Dane statystyczne (Firebase Analytics) | 14 miesięcy |
09 Twoje prawa
Zgodnie z RODO przysługują Ci następujące prawa:
- Prawo dostępu (art. 15) — możesz zażądać kopii swoich danych
- Prawo do sprostowania (art. 16) — możesz poprawić błędne lub niekompletne dane
- Prawo do usunięcia (art. 17) — realizujemy w ciągu 30 dni (+ 30-dniowy okres karencji)
- Prawo do ograniczenia przetwarzania (art. 18) — możesz zażądać wstrzymania przetwarzania
- Prawo do przenoszenia danych (art. 20) — dane udostępniamy w formacie JSON
- Prawo sprzeciwu (art. 21) — wobec przetwarzania opartego na uzasadnionym interesie
- Prawo do cofnięcia zgody (art. 7) — w każdej chwili, bez wpływu na legalność wcześniejszego przetwarzania
- Prawo do skargi — do Prezesa UODO, ul. Stawki 2, 00-193 Warszawa, kancelaria@uodo.gov.pl
Prawa wykonujesz, pisząc na: privacy@brace-buddy.com. Odpowiadamy w ciągu 30 dni.
10 Bezpieczeństwo danych
Stosujemy następujące środki techniczne i organizacyjne:
- Szyfrowanie danych zdrowotnych — AES-256-GCM
- Szyfrowanie transmisji — TLS 1.3
- Kontrola dostępu oparta na rolach (RBAC)
- Rate limiting — ochrona przed atakami brute-force
- Monitoring błędów (Sentry) z usuwaniem PII z raportów
- Regularne kopie zapasowe danych na serwerach w UE
11 Zmiany Polityki Prywatności
O każdej istotnej zmianie powiadomimy Cię co najmniej 7 dni wcześniej — powiadomieniem w Aplikacji i/lub e-mailem. Poprzednie wersje Polityki są dostępne na żądanie pod adresem privacy@brace-buddy.com.
12 Kontakt
RODO / Prywatność: privacy@brace-buddy.com
Ogólny kontakt: support@brace-buddy.com
Organ nadzorczy:
Urząd Ochrony Danych Osobowych (UODO)
ul. Stawki 2, 00-193 Warszawa
kancelaria@uodo.gov.pl · tel. +48 606 950 000