Polityka prywatności Cartdock

1. Kto odpowiada za dane

Administrator danych: Siarhei Mishchanka, osoba fizyczna, Koposche aviatsonyaya 13, 247, Białoruś, e-mail: support@cartdock.app. Słowa „my” i „nasz” w tej polityce oznaczają administratora.

Pytania i wnioski dotyczące Twoich danych: privacy@cartdock.app.

2. W skrócie

• Bez Twojej zgody na odczytywanie paragonów z pomocą AI zdjęcia paragonów nie opuszczają urządzenia.
• Zdjęcia paragonów są usuwane z usługi 30 dni po odczytaniu.
• W aplikacji nie ma reklam. Statystyki użycia (Google Analytics for Firebase) są wysyłane tylko za Twoją zgodą; raporty o awariach (Firebase Crashlytics) są wysyłane, dopóki ich nie wyłączysz (punkt 3.11).
• Eksport danych, usunięcie konta i zgody są w aplikacji: Profil → Dane (ekran „Moje dane”).

3. Jakie dane przetwarzamy

3.1. Instalacja i konto

• Przy pierwszym uruchomieniu aplikacja tworzy losowy identyfikator instalacji i przesyła go do usługi razem z rodzajem platformy (Android lub iOS). Tak powstaje anonimowe konto — bez imienia i adresu e-mail. Tokeny dostępu są przechowywane na urządzeniu w bezpiecznym magazynie systemu, a w usłudze wyłącznie jako skróty (hashe).
• Jeśli logujesz się przez Google albo e-mailem i hasłem, logowanie obsługuje Firebase Authentication (Google). Przechowujemy sposób logowania, Twój identyfikator w Firebase i adres e-mail. Przy logowaniu przez Google otrzymujemy i przechowujemy imię z Twojego profilu Google; zdjęcia i pozostałych danych profilu nie przechowujemy. Imię i nazwisko dla wspólnych list możesz podać sam na ekranie konta — to opcjonalne. Hasło przechodzi przez naszą usługę do Firebase Authentication i nie jest przez nas zapisywane.
• Wiadomości potwierdzające adres e-mail i resetujące hasło wysyła Firebase.
• Po zalogowaniu dane utworzone na urządzeniu przed zalogowaniem przechodzą na Twoje konto.
• Aby chronić konta przed odgadywaniem haseł, liczymy próby logowania; adres e-mail jest do tego celu przechowywany tylko jako skrót, a zapisy są usuwane po jednej dobie.

3.2. Listy zakupów

• Listy są przechowywane na urządzeniu. Gdy udostępniasz listę (wymaga to konta), jest ona przechowywana także w usłudze: nazwa, pozycje (nazwa, ilość, jednostka, notatka, dział, oznaczenie „kupione”, kto dodał), uczestnicy i ich role.
• Uczestnicy widzą się nawzajem pod nazwą: imię i nazwisko podane przez Ciebie, w przeciwnym razie imię z profilu Google, w przeciwnym razie część adresu e-mail przed znakiem „@”. Pełny adres nie jest pokazywany. Goście widoczni są pod pseudonimem (nazwą zwierzęcia).
• Usunięte pozycje wspólnej listy są trwale usuwane z usługi po 30 dniach.
• Jeśli właściciel usuwa wspólną listę albo swoje konto, lista zostaje usunięta z usługi razem z pozycjami dodanymi przez uczestników. Gdy uczestnik traci dostęp do listy (na przykład właściciel usunął listę albo swoje konto lub usunął tego uczestnika), na urządzeniu uczestnika zostaje kopia listy: nie jest już aktualizowana i nie jest przechowywana w usłudze. Uczestnik może sam usunąć kopię.

3.3. Linki do listy

• Link zawiera losowy klucz; usługa przechowuje tylko jego skrót. Każdy, kto ma link, może obejrzeć listę, dopóki link jest ważny.
• Poziom linku to „Tylko podgląd” albo „Współpraca” (współpraca jest możliwa w aplikacji). Link działa 24 godziny, 30 dni (domyślnie) albo bezterminowo.
• Przez link widać: nazwę listy, nazwę właściciela (wybraną jak u uczestników; widzi ją każdy, kto ma link), pozycje (nazwa, ilość, jednostka, dział, oznaczenie „kupione”), poziom linku, czas ostatniej zmiany i termin ważności linku. Notatki do pozycji, uczestnicy, paragony i wydatki nie są widoczne.
• Odwołanie linku natychmiast go zamyka i usuwa z listy gości oraz widzów, którzy dołączyli przez ten link.

3.4. Paragony i zdjęcia

• Zdjęcia paragonów pozostają na urządzeniu, dopóki nie zostaną wysłane, i są wysyłane tylko wtedy, gdy zezwolisz na „Przetwarzanie przez AI”.
• Wysłane zdjęcia są przechowywane w prywatnym magazynie Supabase Storage (region eu-central-1, UE).
• Zapisany paragon jest przechowywany w usłudze: sklep, data zakupu, waluta, suma, pozycje z ilościami, cenami i kategoriami oraz wynik rozpoznawania. Jeśli powiążesz paragon z listą, usługa przechowuje także identyfikator tej listy (bez jej nazwy i pozycji).
• Jeśli zapisujesz, ile kosztowała lista bez paragonu, usługa przechowuje tę kwotę na Twoim koncie: kwotę, walutę, dzień i identyfikator listy. Inni uczestnicy listy jej nie widzą.
• Aby wykryć paragon wysłany ponownie, porównujemy skróty zdjęć w obrębie Twojego konta.
• Na Androidzie krawędzie paragonu na zdjęciu wykrywa model Google ML Kit bezpośrednio na urządzeniu. Zdjęcie nie jest nigdzie wysyłane, ale po pierwszym wykryciu krawędzi biblioteka przesyła Google informacje techniczne o swoim działaniu.
• Jeśli zgłaszasz problem z paragonem, otrzymujemy rodzaj problemu, Twój komentarz i odniesienie do zadania rozpoznawania. Do zgłoszenia nie są dołączane zdjęcia.
• Liczymy, ile paragonów zeskanowałeś i ile pytań zadałeś asystentowi w miesiącu — na potrzeby miesięcznych limitów.
• Logo sklepów na liście paragonów aplikacja dopasowuje na urządzeniu. Nie częściej niż raz na dobę, gdy lista paragonów jest otwarta, pobiera z naszej witryny wspólny katalog logo i wszystkie jego pliki — ten sam zestaw dla każdej instalacji. Żądanie nie zawiera nazw sklepów, danych paragonów ani konta, więc z dziennika witryny nie da się ustalić, gdzie robisz zakupy. Witryna widzi adres IP i czas żądania.
• Logotypy sklepów należą do ich właścicieli. Aby usunąć logo, napisz na privacy@cartdock.app.

3.5. Odczytywanie paragonów z pomocą AI

• Paragony odczytuje OpenAI. OpenAI otrzymuje obrazy stron paragonu i nasze instrukcje. Nie dołączamy do tego żądania Twojego identyfikatora, adresu e-mail ani innych danych konta. Żądanie jest wysyłane z wyłączonym zapisywaniem odpowiedzi po stronie OpenAI (store=false). Jeśli pozycje paragonu nie są w języku aplikacji, a tłumaczenie jest włączone na ekranie Profil → Dane → Przetwarzanie danych, OpenAI w tym samym żądaniu tłumaczy ich nazwy na język aplikacji. Przechowujemy zarówno tłumaczenie, jak i nazwę z paragonu.
• Gdy OpenAI jest niedostępny, paragon odczytuje zamiast niego Anthropic. Anthropic otrzymuje te same obrazy i instrukcje, również bez Twojego identyfikatora, adresu e-mail i innych danych konta, i tak samo tłumaczy nazwy pozycji. Anthropic nie ma ustawienia podobnego do store=false; jak długo przechowuje żądania — w sekcji 6.
• O każdym wywołaniu przechowujemy dane techniczne bez treści paragonu: model, czas trwania, rozmiar, koszt i liczniki jakości rozpoznawania.
• Bez zgody zdjęcia nie są wysyłane. Po wycofaniu zgody nowe zdjęcia nie są wysyłane, a już zrobione czekają na urządzeniu.

3.6. Asystent

• W aplikacji asystent nazywa się Rinka. Rinka to AI, a nie człowiek: odpowiedzi pisze model językowy OpenAI lub Anthropic. To, który z nich, wybieramy my w ustawieniach usługi, a drugi może zastąpić pierwszy, gdy ten jest niedostępny.
• Gdy odpowiedź pisze Anthropic, otrzymuje te same dane, które OpenAI otrzymuje według punktów poniżej, również bez Twojego adresu e-mail i imienia.
• Gdy zadajesz pytanie asystentowi, OpenAI otrzymuje treść pytania, identyfikatory Twoich list (bez ich zawartości), liczbę ostatnich paragonów i techniczny identyfikator Twojego konta u nas (bez adresu e-mail i imienia).
• Model nie otrzymuje zawartości Twoich list ani paragonów, ani Twoich wydatków. Aby rozumieć ciąg dalszy rozmowy, OpenAI razem z pytaniem otrzymuje do 6 wcześniejszych pytań i odpowiedzi z tej samej rozmowy — nie więcej niż 6000 znaków i tylko z ostatnich 48 godzin. We wcześniejszych odpowiedziach mogą być nazwy pozycji zaproponowane przez samą Rinkę. Pytania z innych rozmów nie są wysyłane. Żądanie jest wysyłane z wyłączonym zapisywaniem odpowiedzi po stronie OpenAI (store=false).
• Pytanie i odpowiedź są przechowywane w usłudze przez 48 godzin, potem ich treść jest usuwana. Pozostaje zapis, że pytanie zostało zadane — na potrzeby miesięcznego limitu.
• O każdej odpowiedzi przechowujemy dane techniczne bez treści pytania i odpowiedzi: model, czas trwania, rozmiar odpowiedzi i koszt.
• Asystent działa tylko ze zgodą „Przetwarzanie przez AI” — tą samą co paragony: bez niej lub po jej wycofaniu pytania nie są wysyłane, a odpowiedź, która jeszcze powstaje, jest zatrzymywana. Dane są wysyłane tylko wtedy, gdy zadajesz pytanie.
• Pod każdą odpowiedzią Rinki jest przycisk „Zgłoś”. Jeśli zgłosisz odpowiedź, nasza usługa otrzymuje tę odpowiedź, Twoje pytanie do niej, listę zaproponowaną w niej przez Rinkę (jeśli była), wybrany powód i Twój komentarz (do 500 znaków); zgłoszenie jest powiązane z Twoim kontem. Dopóki usługa ma własną kopię pytania i odpowiedzi (48 godzin), zapisuje ją zamiast kopii z urządzenia. Usługa dodaje do zgłoszenia model, wersję instrukcji, plan i platformę (Android lub iOS), z którymi powstała odpowiedź, oraz to, jak się zakończyła (w całości, przerwana lub z błędem). Zgłoszenie nie zawiera zawartości Twoich list ani paragonów, a ani OpenAI, ani Anthropic go nie otrzymują.
• Zgłoszenia służą do sprawdzania odpowiedzi i ulepszania Rinki. Treści zgłoszenia — pytanie, odpowiedź, zaproponowana lista i komentarz — są usuwane 30 dni po jego otrzymaniu; powód i informacje o odpowiedzi zostają do usunięcia konta, aby można było liczyć zgłoszenia. Bez połączenia zgłoszenie czeka na urządzeniu i zostaje wysłane później; po odpowiedzi usługi na urządzeniu zostaje tylko jego status. Zgłoszenie nie wymaga zgody „Przetwarzanie przez AI”. Sprzeciw wobec tego przetwarzania możesz wnieść pod adresem privacy@cartdock.app — wtedy usuniemy zgłoszenie.

3.7. Wprowadzanie głosowe

• Pytanie do asystenta można podyktować. Mowę rozpoznaje systemowa usługa rozpoznawania mowy Androida lub iOS. W zależności od urządzenia dzieje się to na samym urządzeniu albo na serwerach dostawcy systemu (Google, Apple) na jego zasadach.
• Aplikacja otrzymuje tylko rozpoznany tekst i nie zachowuje nagrania. Mikrofon działa, dopóki na ekranie widać „Słuchamy”; nagrywanie można zatrzymać przyciskiem.

3.8. Co zostaje na urządzeniu

• Sumy wydatków i planowanie zakupów aplikacja oblicza na urządzeniu z Twoich paragonów, list i kwot zapisanych bez paragonu. Usługa przechowuje tylko paragony i kwoty opisane w punkcie 3.4.
• Przypomnienia to lokalne powiadomienia urządzenia, bez serwera i bez wysyłek.
• Twoje odpowiedzi dotyczące zgód są przechowywane na urządzeniu.
• Po wylogowaniu osobiste listy konta, kopie wspólnych list, do których nie masz już dostępu, oraz paragony konta wraz ze zdjęciami nie są usuwane z tego telefonu, lecz ukrywane: aplikacja przechowuje je tylko z identyfikatorem konta (bez adresu e-mail) i przywraca je, gdy ponownie zalogujesz się na to samo konto na tym telefonie. Paragony, które nie są jeszcze zapisane na koncie, trafią tam dopiero po tym zalogowaniu. Gość i inne konta na tym telefonie ich nie widzą. Usunięcie konta w aplikacji na tym telefonie je usuwa; ukryte listy i paragony innych kont na tym telefonie pozostają.
• Na Androidzie kopię zapasową danych aplikacji tworzy system i tylko w dwóch przypadkach. Pierwszy to kopia w chmurze na Twoim koncie Google: tylko gdy kopia zapasowa jest włączona i Android może zaszyfrować kopię na telefonie; do tego potrzebna jest blokada ekranu (PIN, wzór lub hasło). Jeśli kopii nie można zaszyfrować, dane aplikacji nie trafiają do kopii w chmurze. Drugi to przeniesienie danych ze starego telefonu na nowy przy zmianie telefonu. Android 7 i 8 nie sprawdzają szyfrowania kopii, dlatego na nich nie obiecujemy, że kopia w chmurze jest zaszyfrowana.
• Kopia zawiera listy, paragony bez zdjęć, rozmowy z Rinką, język aplikacji i ustawienia, w tym Twoje odpowiedzi dotyczące zgód, a po zalogowaniu — adres e-mail i imię konta. Kopia zapasowa zawiera też listy i paragony (bez zdjęć) ukryte na tym telefonie po wylogowaniu, także listy i paragony innych kont: z identyfikatorem konta, bez adresu e-mail. Kopia nie zawiera tokenów dostępu, identyfikatora instalacji, zdjęć paragonów ani przypomnień. Po przywróceniu zaloguj się ponownie i ponownie włącz przypomnienia.

3.9. Dzienniki usługi

• Przy każdym połączeniu aplikacji z usługą zapisywany jest wpis w dzienniku: adres IP, metoda i adres żądania bez parametrów oraz kod odpowiedzi. Klucze linków i tymczasowe adresy przesyłania są w naszym dzienniku zastępowane znacznikiem.
• Platforma Google Cloud Run prowadzi też własny dziennik żądań. Przechowuje w nim pełny adres żądania — także klucz linku, gdy aplikacja otwiera listę przez link. Te dzienniki widzą tylko osoby z dostępem do dzienników projektu. Okres przechowywania dzienników: 30 dni.
• Usługa zapisuje też, w które dni Twoje konto się z nią łączyło i z jakiej platformy (Android lub iOS), aby liczyć aktywnych użytkowników. Te zapisy są usuwane po 35 dniach; w raportach zostają tylko łączne liczby bez kont. Ostatni taki dzień jest też przechowywany w zapisie urządzenia, dopóki urządzenie nie zostanie usunięte. Te zapisy nie zależą od wyboru dotyczącego statystyk użycia (punkt 7).

3.10. Strona wspólnej listy w przeglądarce

• Strona działa w witrynie Cartdock (Google Cloud Run, region europe-west1) i pobiera listę z Supabase (region eu-central-1): klucz linku jest przesyłany w treści żądania, a nie w adresie. Zmiany docierają przez Supabase Realtime jako sygnał bez danych listy. Żądania stron /s/ są wyłączone z dziennika żądań platformy. Jeśli wystąpi błąd wyświetlania strony, dziennik błędów kontenera może przechować pełny adres, w tym klucz linku w ścieżce /s/, przez 30 dni.
• Dane listy nie są zapisywane w przeglądarce.
• Statystyki odwiedzin (Google Analytics 4) włączają się tylko wtedy, gdy wybierzesz „Tak” w pytaniu na stronie. Wcześniej strona nie łączy się z Google. Po „Tak” Google otrzymuje zdarzenia — otwarcie strony, naciśnięcie przycisku „Otwórz w Cartdock” i przycisków Google Play oraz App Store, zapis listy do TXT lub CSV, nieważny link — z rodzajem platformy, formatem pliku lub przyczyną. Klucz linku, nazwa i pozycje listy oraz nazwa właściciela nie trafiają do statystyk, a adres strony jest zastępowany ogólnym /s/. Google Signals i funkcje reklamowe są wyłączone.
• Ta strona polityki nie używa analityki ani żądań do innych witryn; jedyny plik cookie witryny opisano w sekcji 9.

3.11. Raporty o awariach i statystyki użycia

• Android i iOS wysyłają raporty o awariach. Tylko Android wysyła statystyki użytkowania. Wersje Debug nie wysyłają żadnych z tych danych.
• Raporty o awariach są włączone, dopóki ich nie wyłączysz: pole „Wysyłaj raporty o awariach” przy pierwszym uruchomieniu albo później Profil → Dane → Przetwarzanie danych → „Raporty o awariach”. Gdy aplikacja ulegnie awarii, raport trafia do Firebase Crashlytics (Google): miejsce w kodzie, w którym wystąpił błąd, typ i treść błędu, czas awarii, wersja aplikacji, model urządzenia, wersja systemu, ilość pamięci i miejsca na dane, informacja, czy urządzenie ma uprawnienia root, oraz losowy identyfikator instalacji Crashlytics. Aby liczyć sesje, Firebase otrzymuje też losowy identyfikator instalacji Firebase i czas, przez który aplikacja była na ekranie.
• Raport o awarii nie zawiera identyfikatora konta, adresu e-mail, zawartości list i paragonów ani pytań do Rinki. Komunikaty błędów naszego kodu nie zawierają takich danych.
• Bez połączenia raport czeka na urządzeniu i jest wysyłany przy następnym uruchomieniu. Jeśli wyłączysz raporty o awariach, niewysłane raporty są usuwane z urządzenia przy następnym uruchomieniu.
• Statystyki użycia (Google Analytics for Firebase) są wyłączone, dopóki na nie nie zezwolisz: pole „Zezwól na analitykę korzystania” przy pierwszym uruchomieniu albo później Profil → Dane → Przetwarzanie danych → „Statystyki użycia”. Za Twoją zgodą Google otrzymuje zdarzenia, które biblioteka zapisuje sama — pierwsze uruchomienie, początek i długość sesji, aktualizacje aplikacji i systemu — z wersją aplikacji, modelem urządzenia, wersją systemu, przybliżonym regionem i losowym identyfikatorem instancji aplikacji. Nie wysyłamy własnych zdarzeń, nazw ekranów, identyfikatora konta ani identyfikatora reklamowego; funkcje reklamowe są wyłączone.
• Po wycofaniu zgody statystyki od razu przestają być zbierane, a aplikacja resetuje swój identyfikator statystyk. Raporty o awariach i statystyki nie są powiązane z kontem: nie ma ich w archiwum danych i nie są usuwane razem z kontem; Google usuwa je po okresach z sekcji 6.

3.12. Subskrypcje

• Plany Lite i Plus kupuje się w aplikacji jako subskrypcje przez Google Play lub App Store i tylko po zalogowaniu. Płacisz sklepowi: to on przetwarza płatność na podstawie własnego regulaminu i polityki prywatności, a my nigdy nie otrzymujemy danych Twojej karty ani innych danych płatniczych.
• Do sprawdzania zakupów używamy RevenueCat. Aplikacja i sklep przekazują RevenueCat identyfikator Twojego konta u nas (bez adresu e-mail i imienia), produkt, sklep, walutę i ustawienia regionalne sklepu oraz zapis zakupu. RevenueCat przechowuje historię zakupów, odnowień, anulowań i zwrotów Twojego konta. RevenueCat otrzymuje ten identyfikator konta, gdy po zalogowaniu prosisz o oferty subskrypcji, jeszcze przed zakupem. Historii zakupów w RevenueCat używamy również do przeglądania statystyk subskrypcji.
• Nasza usługa pyta RevenueCat o Twoją subskrypcję i przechowuje plan, produkt, sklep, datę zakupu, początek i koniec bieżącego okresu, informację o odnawianiu, problem z płatnością i zwrot. Na tej podstawie usługa przyznaje Twojemu kontu plan.
• Usunięcie konta lub aplikacji nie anuluje subskrypcji w sklepie. Jak ją anulować, opisano na stronie „Usuwanie konta”.
• Cena, odnowienie, anulowanie, odstąpienie od umowy i zwroty za subskrypcje są opisane w warunkach korzystania. Gdy prosisz Apple o zwrot pieniędzy za subskrypcję kupioną w App Store, nasza usługa przekazuje Apple przez RevenueCat informację, czy subskrypcja została dostarczona; nie wysyła niczego z Twoich list, paragonów ani pytań. Podstawą jest nasz prawnie uzasadniony interes w prawidłowej decyzji o zwrocie (art. 6 ust. 1 lit. f RODO); możesz wnieść sprzeciw pod adresem privacy@cartdock.app, zanim zwrócisz się do Apple (warunki korzystania, sekcja 6).

4. Kto otrzymuje dane i gdzie są przetwarzane

• Google Cloud Run — nasza usługa, region europe-west1 (UE).
• Google Cloud Run — witryna Cartdock: strona główna, strona wspólnej listy i ta strona.
• Supabase — baza danych, magazyn zdjęć i archiwów eksportu, aktualizacje strony internetowej; region eu-central-1 (UE).
• Firebase (Google) — Authentication: logowanie i wiadomości e-mail; dane są przetwarzane wyłącznie w Stanach Zjednoczonych. Podstawą przekazania jest certyfikacja Google LLC w ramach EU-U.S. Data Privacy Framework (decyzja stwierdzająca odpowiedni stopień ochrony, art. 45 RODO); jeśli przestanie obowiązywać — standardowe klauzule umowne Komisji Europejskiej (art. 46 ust. 2 lit. c RODO) z warunków przetwarzania danych Google.
• OpenAI Ireland Ltd. (Irlandia) — podmiot przetwarzający działający na nasze zlecenie: odczytywanie i tłumaczenie paragonów, odpowiedzi Rinki. OpenAI może przekazywać dane swoim podmiotom powiązanym i podwykonawcom poza EOG, w tym do USA, na podstawie standardowych klauzul umownych Komisji Europejskiej (art. 46 ust. 2 lit. c RODO) lub decyzji stwierdzającej odpowiedni stopień ochrony (art. 45 RODO). Kopię tych warunków można uzyskać pod adresem privacy@cartdock.app. OpenAI nie używa tych danych do trenowania modeli i przechowuje je do 30 dni w dziennikach ochrony przed nadużyciami; ustawienie store=false nie zmienia tego okresu.
• Anthropic Ireland, Limited (Irlandia) — podmiot przetwarzający działający na nasze zlecenie: odczytywanie i tłumaczenie paragonów, gdy OpenAI jest niedostępny, odpowiedzi Rinki. Anthropic może przetwarzać dane poza EOG, w tym w USA, na podstawie standardowych klauzul umownych Komisji Europejskiej (art. 46 ust. 2 lit. c RODO) zawartych w swojej umowie powierzenia przetwarzania danych, która jest częścią Commercial Terms Anthropic. Anthropic nie wykorzystuje tych danych do trenowania modeli.
• Firebase Crashlytics (Google) — raporty o awariach aplikacji na Androida i iOS; Google przetwarza je w swojej globalnej infrastrukturze, także w Stanach Zjednoczonych. Podstawa przekazania jest taka sama jak w przypadku Firebase Authentication: EU-U.S. Data Privacy Framework, a w przeciwnym razie standardowe klauzule umowne.
• Google Analytics for Firebase (Google) — statystyki użycia aplikacji na Androida, tylko po wyrażeniu przez Ciebie zgody; ta sama podstawa przekazania.
• RevenueCat, Inc. (Stany Zjednoczone) — podmiot przetwarzający działający na nasze zlecenie: sprawdzanie zakupów subskrypcji i przechowywanie ich historii. Podstawą przekazania są standardowe klauzule umowne Komisji Europejskiej (art. 46 ust. 2 lit. c RODO) w umowie RevenueCat o przetwarzaniu danych.
• Google Play, App Store — sprzedaż subskrypcji i przyjmowanie płatności na podstawie regulaminów i polityk prywatności Google i Apple.
• Google Analytics — tylko na stronie wspólnej listy i tylko po Twojej zgodzie.
• Google lub Apple — rozpoznawanie mowy przez system urządzenia, tylko podczas dyktowania.

Nasza usługa nie wywołuje innych zewnętrznych usług.

Osoby w Szwajcarii: obowiązują ci sami odbiorcy i te same kraje. Szwajcaria uznaje, że państwa UE i EOG zapewniają odpowiedni stopień ochrony danych, a Stany Zjednoczone — tylko w przypadku firm certyfikowanych w ramach Swiss-U.S. Data Privacy Framework, takich jak Google LLC. Przekazywanie danych do RevenueCat w Stanach Zjednoczonych oraz przekazywanie danych przez OpenAI i Anthropic poza EOG opierają się na standardowych klauzulach umownych Komisji Europejskiej z dostosowaniami do prawa szwajcarskiego (art. 16 ust. 2 lit. d szwajcarskiej ustawy federalnej o ochronie danych, FADP).

5. Podstawy przetwarzania

• Zgoda (art. 6 ust. 1 lit. a RODO) — odczytywanie i tłumaczenie paragonów z pomocą AI, odpowiedzi Rinki i pamięć rozmowy, statystyki odwiedzin na stronie wspólnej listy.
• Wykonanie umowy (art. 6 ust. 1 lit. b RODO) — konto i logowanie, synchronizacja i wspólne listy, przechowywanie paragonów, eksport i usuwanie.
• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) — dzienniki, ochrona przed odgadywaniem haseł i nadużyciami, miesięczne limity, liczenie aktywnych użytkowników, zgłoszenia dotyczące odpowiedzi Rinki. Naszym interesem jest bezpieczeństwo usługi, uczciwy podział bezpłatnych limitów, wiedza o tym, ile osób korzysta z usługi, oraz wykrywanie i poprawianie szkodliwych lub błędnych odpowiedzi Rinki.
• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) — także wykrywanie nadużyć, ograniczenia konta, zapisy naszych decyzji i kod adresu e-mail po usunięciu konta (sekcja 6, sekcja 12). Naszym interesem jest to, aby bezpłatnych limitów i AI nie zużywała jedna osoba ani program i aby usunięcie konta nie znosiło limitów ani ograniczeń. Do wykrywania używamy tylko danych, które już przechowujemy, a adres e-mail przechowujemy tylko jako kod.
• Zgoda (art. 6 ust. 1 lit. a RODO) — także statystyki użycia w aplikacji (punkt 3.11).
• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) — raporty o awariach aplikacji. Naszym interesem jest wykrywanie i naprawianie awarii aplikacji. Raport nie zawiera danych konta, a raporty możesz wyłączyć w każdej chwili (punkt 3.11); wyłączenie jest Twoim sprzeciwem (art. 21 RODO).
• Wykonanie umowy (art. 6 ust. 1 lit. b RODO) — także subskrypcje: sprawdzenie zakupu i przyznanie kontu planu (punkt 3.12).

6. Jak długo przechowujemy dane

• Zdjęcia paragonów — 30 dni od odczytania lub krócej, gdy usuniętego paragonu nie można już przywrócić.
• Usunięty paragon można przywrócić przez 7 dni; 30 dni później jest usuwany trwale.
• Pytania do asystenta i odpowiedzi — 48 godzin.
• Żądania u Anthropic — usuwane w ciągu 30 dni; jeśli żądanie zostanie oznaczone jako naruszające zasady korzystania z Anthropic, jest przechowywane do 2 lat, a wyniki jego kontroli bezpieczeństwa — do 7 lat.
• Dane techniczne o wywołaniach AI dla paragonów i Rinki, bez treści — do usunięcia konta.
• Liczniki skanów i pytań do miesięcznego budżetu każdego planu, niepowiązane z kontem — bieżący i poprzedni miesiąc.
• Raporty o awariach — 90 dni u Google (Firebase Crashlytics); niewysłany raport jest usuwany z urządzenia, gdy wyłączysz raporty.
• Zdarzenia statystyk użycia — 2 miesiące u Google (Google Analytics for Firebase); w raportach zostają tylko liczby łączne.
• Dane subskrypcji w naszej usłudze i w RevenueCat — do usunięcia konta; przy usunięciu konta nasza usługa usuwa też Twój zapis w RevenueCat. Sklep przechowuje własne zapisy zakupów na podstawie swojego regulaminu.
• Zgłoszenia dotyczące odpowiedzi Rinki — treści przez 30 dni od otrzymania zgłoszenia; powód i informacje o odpowiedzi — do usunięcia konta.
• Usunięte pozycje wspólnych list — 30 dni.
• Archiwum eksportu — 3 dni; link do pobrania działa 15 minut i jest wydawany ponownie.
• Tokeny logowania — do 90 dni; zapisy o nich są usuwane 30 dni po wygaśnięciu.
• Liczniki prób logowania — jedna doba.
• Dzienniki — 30 dni.
• Zapisy dni aktywności — 35 dni.
• Zapis o wykonanym lub anulowanym usunięciu konta (identyfikatory konta i urządzenia, stan wniosku i czas) — 12 miesięcy od wykonania lub anulowania; jeśli usługa sama usunęła dane gościa — 35 dni.
• Dane bez konta (gość) — dopóki aplikacja łączy się z usługą; po 14 dniach bez połączenia usługa usuwa je tak samo jak przy usunięciu na Twoją prośbę. Dane na urządzeniu pozostają.
• Po usunięciu konta z adresem e-mail — do końca miesiąca i jeszcze 1 dzień: kod tego adresu (HMAC z tajnym kluczem; sam adres nie jest przechowywany) oraz liczba skanów i pytań do asystenta w tym miesiącu, aby nowa rejestracja tym samym adresem w tym miesiącu nie zaczynała miesięcznych limitów od nowa.
• Ograniczenie konta (sekcja 12) — dopóki obowiązuje i jeszcze 30 dni po jego zakończeniu; jeśli zniesiemy je wcześniej lub konto zostanie usunięte, zapis jest usuwany od razu.
• Zapisy naszych decyzji o ograniczeniach — 12 miesięcy od decyzji; po usunięciu konta pozostają bez jego identyfikatora; przy blokadzie rejestracji zapis zawiera pierwsze 8 znaków kodu adresu.
• Blokada rejestracji — kod adresu e-mail (HMAC z tajnym kluczem) — do 6 miesięcy od naszej decyzji; po usunięciu konta zawieszonego za naruszenie zasad — 6 miesięcy od usunięcia albo do końca zawieszenia, jeśli kończy się ono później.
• Konto, paragony, listy i zgłoszenia problemów — dopóki ich nie usuniesz albo nie usuniesz konta.
• Kwoty zapisane bez paragonu — do usunięcia konta. Usunięta przez Ciebie kwota jest oznaczana jako usunięta i nie trafia do archiwum, ale jej zapis zostaje do usunięcia konta, aby starsza zmiana z innego urządzenia jej nie przywróciła.

Powyższe okresy wskazują, kiedy dane należy usunąć. Następnie usuwa je zadanie techniczne usługi, które uruchamia się co 10 minut, gdy usługa działa. Gdy nikt nie korzysta z usługi, zatrzymuje się ona, a zadanie uruchamia się przy jej ponownym starcie, więc dane mogą zostać usunięte później, niż kończy się ich okres. Dzienniki usuwa sama platforma Google Cloud Run.

7. Zgody

• Przy pierwszym uruchomieniu wybierasz, czy zezwolić na przetwarzanie przez AI (odczyt paragonów i odpowiedzi asystenta) i na statystyki użycia oraz czy wysyłać raporty o awariach, a także potwierdzasz, że masz ukończone 16 lat.
• Pole „Zezwól na przetwarzanie AI” nie jest zaznaczone z góry. Bez zgody na AI listy działają; rozpoznawanie paragonów i Rinka są wyłączone.
• Statystyki użycia są wyłączone, dopóki na nie nie zezwolisz. Raporty o awariach są włączone, dopóki ich nie wyłączysz: nie opierają się na zgodzie, lecz na naszym prawnie uzasadnionym interesie (sekcja 5), a wyłączenie zatrzymuje je w ten sam sposób. Zapisy dni aktywności w usłudze (punkt 3.9) są odrębne i nie zależą od tych wyborów.
• Zgodę możesz w każdej chwili zmienić lub wycofać: Profil → Dane → Przetwarzanie danych. Wycofanie działa od razu i nie dotyczy tego, co zostało wysłane wcześniej.
• Na stronie wspólnej listy wybór zmienia się linkiem „Zmień” na dole strony.

8. Twoje prawa

Masz prawo dostępu do danych i otrzymania ich kopii, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania oraz wycofania zgody.

• Kopia danych — Profil → Dane → Archiwum → Przygotuj archiwum. Archiwum zawiera dane konta (imię i nazwisko, jeśli je podałeś, imię z profilu Google, adres e-mail, sposoby logowania, plan i dni aktywności z punktu 3.9), urządzenia, wspólne listy, które utworzyłeś lub do których dołączyłeś, z pozycjami, zapisane paragony, kwoty zapisane bez paragonu, zadania rozpoznawania, zgłoszenia problemów, pytania do asystenta i odpowiedzi, zgłoszenia dotyczące odpowiedzi Rinki, ograniczenie konta i nasze decyzje w jego sprawie oraz zdjęcia. Listy, których nie udostępniłeś, kopie wspólnych list, do których nie masz już dostępu, i paragony, których jeszcze nie zapisałeś, są tylko na urządzeniu i nie trafiają do archiwum. O inne dane na Twój temat możesz poprosić pod adresem privacy@cartdock.app.
• Archiwum zawiera też Twoje subskrypcje w postaci, w jakiej przechowuje je nasza usługa (punkt 3.12).
• Usunięcie — Profil → Dane → Usuwanie → „Usuń konto i wszystkie dane”. Przez 24 godziny usunięcie można anulować; potem usługa usuwa konto w Firebase, paragony, zdjęcia, kwoty zapisane bez paragonu, zapisy dni aktywności, udział w listach innych osób i urządzenia, a aplikacja usuwa dane konta z urządzenia; ukryte listy i paragony innych kont na tym telefonie pozostają (punkt 3.8). Wspólne listy, które utworzyłeś, są usuwane z usługi razem z pozycjami dodanymi przez uczestników; uczestnikom zostaje na ich urządzeniach kopia, która nie jest już aktualizowana. Pozycje dodane przez Ciebie do list innych osób pozostają w nich bez autora. Pozostają zapis, że usunięcie zostało wykonane, oraz — jeśli konto miało adres e-mail — kod tego adresu z liczbami z danego miesiąca (sekcja 6), a jeśli konto było zawieszone za naruszenie zasad — blokada rejestracji z tym kodem (sekcja 12). Konto można usunąć bez aplikacji e-mailem; jak to zrobić i co jeszcze pozostaje, opisuje strona „Usuwanie konta”.
• Sprostowanie — paragony i listy można edytować w aplikacji.
• W innych sprawach napisz na privacy@cartdock.app.
• Możesz wnieść skargę do organu nadzorczego ds. ochrony danych w swoim kraju; w Polsce jest to Prezes Urzędu Ochrony Danych Osobowych (UODO, uodo.gov.pl); w Szwajcarii jest to Federalny Komisarz ds. Ochrony Danych i Informacji (FDPIC, edoeb.admin.ch), któremu możesz zgłosić naruszenie przepisów o ochronie danych.

9. Pliki cookie i pamięć przeglądarki

• Strona wspólnej listy przechowuje w localStorage tylko Twoją odpowiedź na pytanie o statystyki.
• Pliki cookie Google Analytics (_ga, _ga_…) pojawiają się dopiero po „Tak” i są usuwane, jeśli później odmówisz.
• Witryna zapisuje jeden plik cookie lang z kodem wybranego języka na 1 rok — tylko wtedy, gdy sam wybierzesz język w przełączniku. Strona główna i ta strona nie zapisują w przeglądarce niczego więcej.

10. Wiek

Aplikacja jest przeznaczona dla osób, które ukończyły 16 lat: przy pierwszym uruchomieniu potwierdzasz wiek. Strona wspólnej listy nie pyta o wiek.

Jeśli jesteś w Turcji i masz mniej niż 18 lat, korzystaj z aplikacji za zgodą rodzica lub opiekuna prawnego.

11. Jak chronimy dane

• Aplikacja i strona wymieniają dane z usługami przez HTTPS.
• Tokeny dostępu i klucze linków są przechowywane w usłudze wyłącznie jako skróty.
• Zdjęcia i archiwa są w prywatnym magazynie; można je przesłać i pobrać tylko przez tymczasowy podpisany adres ważny 15 minut.
• Na urządzeniu dane logowania są przechowywane w bezpiecznym magazynie systemu (Keychain w iOS, Keystore w Androidzie).

12. Zasady i ograniczenia konta

Bezpłatne limity, Rinka i rozpoznawanie paragonów są przeznaczone do użytku osobistego. Korzystając z usługi, przestrzegaj czterech zasad:

1. Korzystaj z usługi przez aplikację i stronę internetową; nie wysyłaj żądań programem ani skryptem.
2. Nie obchodź miesięcznych limitów — na przykład nie usuwaj konta i nie rejestruj się ponownie, aby dostać nowe limity.
3. Nie rozsyłaj linków do list masowo ani osobom, które nie zgodziły się ich otrzymywać.
4. Nie przechowuj we wspólnych listach i nie pokazuj przez link nielegalnych treści.

Jeśli zasada zostanie naruszona, możemy ograniczyć konto. Środki — od najłagodniejszego do najsurowszego:

• Spowolnienie. Gdy żądań jest za dużo, usługa przez pewien czas (nie dłużej niż 24 godziny) odmawia ich wykonania i prosi o ponowienie później. To jedyny środek, który program stosuje bez decyzji człowieka.
• Wstrzymanie AI — do 90 dni. Rinka i rozpoznawanie paragonów nie działają dla Twojego konta; odrzucone pytanie lub skan nie jest odliczane od limitów. Listy działają.
• Zawieszenie — do 180 dni. Usługa nie przyjmuje zmian z konta — we wspólnych listach, paragonach, linkach i nazwie konta — a Rinka i rozpoznawanie paragonów nie działają. Nadal widzisz swoje dane, możesz pobrać archiwum, usunąć listy, odwołać linki, usunąć konto i się wylogować. Listy na telefonie, których nie udostępniłeś, działają jak wcześniej. Linki do Twoich wspólnych list nadal się otwierają; jeśli zgłoszenie nielegalnych treści się potwierdzi, możemy je odwołać.
• Blokada rejestracji — do 6 miesięcy od decyzji. Z tym adresem e-mail nie można zarejestrować nowego konta; logowanie do istniejącego konta działa. Jeśli usuniesz konto, gdy jest zawieszone za naruszenie zasad, jego adresy e-mail są blokowane bez nowej decyzji — z mocy naszej decyzji o zawieszeniu — na 6 miesięcy od usunięcia albo do końca zawieszenia, jeśli kończy się ono później. Adres jest przechowywany tylko jako kod (HMAC z tajnym kluczem).

Jak decydujemy i co możesz zrobić:

• O wstrzymaniu AI, zawieszeniu i blokadzie rejestracji decyduje człowiek — Siarhei Mishchanka, który prowadzi usługę — po sprawdzeniu faktów, a nie program. Każda decyzja podaje powód i datę zakończenia; środek można przedłużyć tylko nową decyzją. Gdy okres się kończy, ograniczenie znika samo. Konto gościa (bez logowania) nie jest tak ograniczane: obowiązują je miesięczne limity i spowolnienie.
• Aby zauważyć nadużycie, patrzymy na wskaźniki z danych, które już przechowujemy: koszty AI na konto, liczbę nowych linków, osiąganie limitów, ponowne rejestracje tym samym adresem e-mail po usunięciu konta i liczbę zgłoszeń dotyczących odpowiedzi Rinki. Treść list i paragonów nie jest do tego używana i nie zbieramy nowych danych.
• O wstrzymaniu AI, zawieszeniu lub blokadzie rejestracji piszemy na adres e-mail konta najpóźniej wtedy, gdy środek zaczyna obowiązywać: co jest ograniczone i do kiedy, jaka zasada została naruszona i jakie fakty to pokazują, jak to wykryliśmy i jak odwołać się od decyzji.
• Dane nie są usuwane, gdy konto jest ograniczone. Ograniczenie i nasze decyzje dotyczące Twojego konta są w archiwum danych (sekcja 8); zapisy naszych decyzji są przechowywane 12 miesięcy (sekcja 6).
• Od takiej decyzji możesz się odwołać w ciągu 6 miesięcy od powiadomienia: odpowiedz na naszą wiadomość albo napisz na privacy@cartdock.app. Decyzję ponownie rozpatruje człowiek; odpowiadamy w ciągu 14 dni od otrzymania odwołania i jeśli się zgadzamy, znosimy ograniczenie w dniu odpowiedzi. Możesz też wnieść sprzeciw wobec przetwarzania danych w celu wykrywania nadużyć i ograniczeń (art. 21 RODO), wnieść skargę do organu nadzorczego ds. ochrony danych (art. 77 RODO, sekcja 8) i wystąpić do sądu.
• Jeśli prosisz o ograniczenie przetwarzania Twoich danych (art. 18 RODO), zawieszamy konto z tego powodu na czas rozpatrywania Twojej prośby (jedna decyzja — do 180 dni, w razie potrzeby ją przedłużamy): dane są tylko przechowywane, a Ty nadal możesz je przeglądać i eksportować. Linki do Twoich wspólnych list nadal działają — zapytamy, czy je odwołać; możesz też odwołać je sam. Takie zawieszenie nie jest środkiem stosowanym za naruszenie zasad: jeśli w jego trakcie usuniesz konto, blokada rejestracji nie powstaje i z tym samym adresem e-mail możesz ponownie się zarejestrować. Zanim zniesiemy ograniczenie przetwarzania, poinformujemy Cię o tym.
• Nielegalne treści we wspólnej liście możesz zgłosić linkiem „Zgłoś nielegalne treści” na stronie listy albo wiadomością na privacy@cartdock.app. Podaj numer linku (pokazuje go strona listy), co jest nielegalne i dlaczego, swoje imię i nazwisko oraz adres e-mail i potwierdź, że informacje są dokładne i kompletne. Potwierdzimy otrzymanie zgłoszenia i poinformujemy o decyzji.

13. Osoby w Stanach Zjednoczonych i Kanadzie

• Do Not Track. Nie śledzimy ludzi w innych witrynach ani usługach, dlatego aplikacja i witryna działają tak samo z sygnałem przeglądarki „Do Not Track” i bez niego. Na stronie wspólnej listy Google Analytics działa tylko po Twoim „Tak” (punkt 3.10), a aplikacja wysyła Google statystyki użycia tylko za Twoją zgodą (punkt 3.11); w obu przypadkach funkcje reklamowe są wyłączone. Poza tym żadna strona trzecia nie zbiera przez Cartdock danych o Twojej aktywności.
• Nie sprzedajemy danych osobowych i nie udostępniamy ich do celów reklamowych.
• Kanada. Nasza usługa i jej podmioty przetwarzające przechowują i przetwarzają dane poza Kanadą — w Unii Europejskiej i w Stanach Zjednoczonych (sekcja 4). Tam dostęp do danych mogą uzyskać sądy, organy ścigania i inne organy tych państw na podstawie ich prawa.
• Quebec. Osobą odpowiedzialną za ochronę danych osobowych jest administrator, Siarhei Mishchanka; napisz na privacy@cartdock.app. Przed przekazaniem danych osób z Quebecu poza Quebec oceniliśmy wpływ tego przekazania na prywatność (art. 17 ustawy Quebecu o ochronie danych osobowych w sektorze prywatnym).

14. Zmiany polityki

Aktualna wersja jest zawsze opublikowana pod tym adresem; data wejścia w życie jest podana na górze strony.