Polityka prywatności FitAIss

Administrator danych

Administratorem danych jest DAVISOFT sp. z o.o. z siedzibą przy ul. Konarskiego 22, 38-500 Sanok, KRS: 0000874114, NIP: 6871972749, REGON: 387713266, kapitał zakładowy: 5000 zł. Kontakt w sprawach prywatności odbywa się przez formularz na stronie Kontakt albo e-mail: biuro@davisoft.pl.

Jeżeli zostanie wyznaczony inspektor ochrony danych albo osobny adres do spraw prywatności, ta polityka zostanie zaktualizowana.

Zakres danych konta

Możemy przetwarzać identyfikator użytkownika, identyfikator gościa, adres e-mail, status weryfikacji e-mail, metodę logowania, tokeny sesji, plan użytkownika, język, strefę czasową, datę utworzenia konta oraz informacje potrzebne do bezpieczeństwa i działania aplikacji.

Przy logowaniu Google przetwarzamy dane otrzymane od Google, takie jak identyfikator konta Google, e-mail, status potwierdzenia e-maila, imię lub nazwa profilu i avatar, jeśli Google je przekaże. Przy logowaniu Apple przetwarzamy identyfikator konta Apple dla aplikacji, potwierdzony e-mail lub prywatny adres przekaźnikowy Apple oraz imię i nazwisko, jeżeli Apple przekaże je przy pierwszej autoryzacji.

Dane wellness i dziennik

FitAIss może przetwarzać dane podane przez użytkownika: wzrost, wagę, rok urodzenia, płeć używaną do obliczeń, cele kaloryczne, makroskładniki, wodę, posiłki, napoje, składniki, porcje, treningi, nawyki, post przerywany, pomiary, przepisy, listę zakupów i eksporty danych.

Nie prosimy o dane medyczne jako warunek korzystania z aplikacji. Jeżeli użytkownik wpisze w notatkach informacje o zdrowiu, alergiach, chorobach lub lekach, będą one traktowane jako dane przekazane dobrowolnie i powinny być ograniczone do minimum potrzebnego do korzystania z aplikacji.

Niektóre dane wellness lub ich zestawienie mogą ujawniać informacje o zdrowiu. Dla takiego zakresu odbieramy od użytkownika odrębną, wyraźną zgodę na podstawie art. 9 ust. 2 lit. a RODO. Zgodę można wycofać bez wpływu na zgodność wcześniejszego przetwarzania; wycofanie może wymagać zaprzestania używania funkcji opartych na tych danych, ich usunięcia albo usunięcia konta.

Przed utworzeniem pierwszej sesji użytkownik zaznacza osobne pole 18+ oraz drugie pole obejmujące między innymi wyraźną zgodę na dane wellness. Pomimo wspólnego pola interfejsu FitAIss przechowuje zgodę wellness jako oddzielny, wersjonowany dowód. Po jej wycofaniu dziennik, pomiary, cele i zależne analizy AI pozostają zablokowane do czasu ponownej zgody albo usunięcia danych lub konta.

Zdjęcia, tekst i AI

Zdjęcie posiłku lub napoju jest wysyłane do backendu dopiero po świadomej akcji użytkownika. Backend przekazuje zdjęcie do dostawcy modelu AI w celu oszacowania składników, porcji, kalorii i makroskładników. Oryginalne zdjęcia są przechowywane czasowo, domyślnie do 72 godzin, aby obsłużyć analizę, diagnostykę i ewentualne ponowienie procesu.

Dyktowanie mowy odbywa się mechanizmem systemowym telefonu. FitAIss nie używa OpenAI do samej transkrypcji na tym etapie. Do backendu i modelu AI trafia dopiero tekst zaakceptowany przez użytkownika do analizy posiłku, napoju lub treningu.

Wyniki AI są szacunkowe i wymagają sprawdzenia przez użytkownika. FitAIss nie jest narzędziem medycznym i nie zastępuje lekarza, dietetyka ani indywidualnej konsultacji specjalistycznej.

Płatności i subskrypcje

Subskrypcje cyfrowe są obsługiwane przez Google Play Billing na Androidzie albo App Store na iOS. Google lub Apple przetwarza płatność zgodnie z zasadami właściwego sklepu. FitAIss otrzymuje informacje techniczne potrzebne do potwierdzenia zakupu, takie jak identyfikator produktu, podpisany dowód transakcji, status subskrypcji, data ważności i losowy identyfikator powiązania z kontem użytkownika.

Publiczne plany FitAIss to Free, PRO oraz Platinum. Plan Free zapewnia 2 analizy AI dziennie bez logowania oraz 4 analizy dziennie po zalogowaniu i mogą wyświetlać się w nim reklamy. Plan PRO obejmuje 20 analiz AI dziennie, a plan Platinum obejmuje 70 analiz AI dziennie. Analiza AI może dotyczyć zdjęcia posiłku lub napoju, tekstu z dyktowania, ręcznie wpisanego opisu albo treningu.

Token Google Play albo identyfikator oryginalnej transakcji App Store jest przechowywany w FitAIss w postaci zaszyfrowanej, a do kontroli unikalności używany jest jego skrót. Podpisany komunikat StoreKit jest weryfikowany serwerowo. Uprawnienie premium jest przypisywane do konta FitAIss dopiero po backendowej weryfikacji zakupu i nie może zostać przypisane do innego konta.

Analityka, błędy i monitoring

Przetwarzamy zdarzenia techniczne i produktowe, aby rozumieć działanie aplikacji, limity AI, błędy skanów, wydajność API, stabilność aplikacji i skuteczność funkcji. Przykładowe zdarzenia to otwarcie aplikacji, rozpoczęcie skanu, błąd logowania, przekroczenie limitu lub wysłanie formularza kontaktowego.

Logi i alerty nie powinny zawierać haseł, pełnych tokenów, danych płatniczych ani prywatnych zdjęć. Jeżeli użytkownik zgłasza błąd, w alertach technicznych zapisujemy wyłącznie bezpieczną diagnostykę, np. kod błędu, wersję aplikacji, platformę i skrócone identyfikatory.

Opcjonalna analityka produktu w aplikacji mobilnej jest domyślnie wyłączona i może być włączona lub wyłączona w Ustawieniach. Na stronie /app/ wybór analityki jest zapisywany lokalnie w przeglądarce. Niezbędne logi bezpieczeństwa, zapobiegania nadużyciom i obsługi awarii są przetwarzane niezależnie na podstawie prawnie uzasadnionego interesu.

Udostępnienia, linki polecające i bonusy

Aktualna aplikacja tworzy grafikę i podpis na urządzeniu, używając nazwy posiłku, szacowanej liczby kalorii, osobistego kodu oraz publicznego adresu Google Play. Nie wysyła do FitAIss informacji o wybranym kanale, układzie grafiki, wyniku systemowego okna udostępniania ani samego materiału wyłącznie po to, aby go udostępnić. FitAIss nie otrzymuje od Facebooka, Instagrama ani innego serwisu potwierdzenia publikacji, a samo udostępnienie nie przyznaje bonusu.

Starsze, nadal zgodne wersje aplikacji mogą tworzyć techniczny rekord kampanii obejmujący konto, posiłek, kanał, format, nazwę dania, szacowane kalorie, losowy token i wynik przekazania do aplikacji docelowej. Rekord nie służy do potwierdzania publikacji ani przyznawania bonusu i jest usuwany po upływie 30-dniowego terminu ważności. Skrót tokenu nie pozwala odtworzyć jego wartości.

Przy użyciu kodu polecenia zapisujemy identyfikator kodu, bezpośrednie powiązanie polecającego i poleconego konta, wersję zaakceptowanego Regulaminu Bonusów, status kwalifikacji, okres i dzienną wysokość bonusu, wykorzystanie i zwroty kredytów oraz jednokierunkowy skrót identyfikatora instalacji. Skrót służy zapobieganiu wielokrotnemu wykorzystaniu programu na tym samym urządzeniu. Program nie tworzy wielopoziomowego łańcucha poleceń.

Podstawy prawne

Dane konta i funkcjonalne dane dziennika przetwarzamy w zakresie koniecznym do wykonania umowy (art. 6 ust. 1 lit. b RODO). Obowiązki rachunkowe, podatkowe i odpowiedzi na żądania organów realizujemy na podstawie obowiązku prawnego (art. 6 ust. 1 lit. c). Bezpieczeństwo, obrona roszczeń, niezbędna diagnostyka i zapobieganie nadużyciom opierają się na prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f). Dobrowolny kontakt, opcjonalna analityka i wskazane operacje opierają się na zgodzie (art. 6 ust. 1 lit. a). Dane ujawniające zdrowie przetwarzamy na podstawie wyraźnej zgody (art. 9 ust. 2 lit. a).

Kontrole jednego kodu na konto i instalację, blokowanie samopolecenia oraz przechowywanie minimalnych dowodów odmowy służą ochronie usługi przed nadużyciem. Operator stosuje minimalizację, pseudonimizację i ograniczoną retencję oraz okresowo weryfikuje test równowagi tego interesu.

Dane rozliczeniowe i audytowe mogą być przetwarzane przez okres wymagany przepisami lub niezbędny do obsługi reklamacji, rozliczeń i sporów.

Odbiorcy danych

Dane mogą być przekazywane dostawcom hostingu, baz danych, poczty, monitoringu, analityki technicznej, modeli AI, Google Play Billing, App Store, Google Sign-In, Sign in with Apple oraz narzędziom używanym do obsługi zgłoszeń i bezpieczeństwa. Korzystamy z dostawców wyłącznie w zakresie potrzebnym do działania FitAIss.

Nie sprzedajemy danych osobowych użytkowników. Nie publikujemy prywatnych zdjęć ani treści dziennika użytkownika.

Jeżeli dostawca przetwarza dane poza Europejskim Obszarem Gospodarczym, transfer odbywa się wyłącznie przy zastosowaniu mechanizmu dopuszczonego przez RODO, np. decyzji stwierdzającej odpowiedni stopień ochrony, standardowych klauzul umownych oraz — gdy jest to potrzebne — dodatkowych zabezpieczeń. Informację o aktualnym mechanizmie dla konkretnego dostawcy można uzyskać przez formularz kontaktowy.

Retencja danych

Oryginalne zdjęcia są przechowywane domyślnie do 72 godzin. Miniatury lub wynik analizy mogą być przechowywane dłużej, jeżeli użytkownik zapisze wpis w dzienniku. Logi techniczne są przechowywane zwykle 30-90 dni, chyba że dłuższe przechowanie jest potrzebne do bezpieczeństwa, audytu lub wyjaśnienia błędu.

Techniczne rekordy starszych kampanii udostępnienia są usuwane po ich 30-dniowym terminie ważności. Rekord bezpośredniego polecenia, osobne okresy bonusowe, dowody zgód i minimalny audyt przyznania, odmowy, cofnięcia lub zwrotu są przechowywane dłużej w zakresie potrzebnym do wykonania promocji, rozpatrzenia reklamacji, zapobiegania ponownemu wykorzystaniu i ochrony roszczeń. Nie przechowujemy z tego powodu treści posta w serwisie społecznościowym.

Dane konta i dziennika przechowujemy do czasu usunięcia konta lub przez okres potrzebny do wykonania usługi. Po zleceniu usunięcia obowiązuje 7-dniowy okres na anulowanie. Po nim najpierw usuwamy prywatne obiekty ze storage, a następnie usuwamy dane domenowe i pseudonimizujemy wymagane agregaty. Dane płatnicze, audytowe i reklamacyjne mogą być przechowywane dłużej, jeżeli wymagają tego przepisy albo ochrona roszczeń.

Prawa użytkownika

Użytkownik ma prawo żądać dostępu do danych, sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia danych, sprzeciwu oraz wycofania zgody tam, gdzie przetwarzanie odbywa się na jej podstawie. Użytkownik może też złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.

Widok samodzielnego eksportu jest obecnie wyłączony, ale kopię danych i realizację prawa do przenoszenia można zamówić przez formularz kontaktowy. Usunięcie konta można zlecić w aplikacji albo na stronie Usunięcie konta; system stosuje 7-dniowy okres umożliwiający anulowanie.

Zautomatyzowane przetwarzanie

Modele AI generują szacunki składników, kalorii, makroskładników i treningów, ale użytkownik może je sprawdzić i poprawić przed zapisem. FitAIss nie podejmuje na tej podstawie decyzji wywołujących wobec użytkownika skutki prawne ani podobnie istotnie na niego wpływających w rozumieniu art. 22 RODO.

Bezpieczeństwo

Stosujemy szyfrowane połączenia HTTPS, backendową weryfikację zakupów Google Play i App Store, szyfrowanie identyfikatorów transakcji oraz ich skróty kontrolne, kontrolę sesji, rate limiting, izolację sekretów poza repozytorium oraz alerty błędów. Aplikacja mobilna nie zawiera kluczy OpenAI ani sekretów SMTP.

Zmiany polityki

Polityka może być aktualizowana wraz z rozwojem FitAIss, zmianami funkcji, zmianą operatora lub wymaganiami prawnymi. Istotne zmiany będą komunikowane w aplikacji albo na stronie.

Dane lokalne PWA i niezbędne pliki cookie

Aplikacja WWW zapisuje w pamięci przeglądarki wybrany język, wybór opcjonalnej analityki, losowy anonimowy identyfikator instalacji oraz ograniczone kopie zdjęć posiłków, aby interfejs działał spójnie. Kopie zdjęć posiłków są przechowywane w IndexedDB w zakresie bieżącego użytkownika FitAIss i usuwane przy wylogowaniu, o ile pozwala na to przeglądarka. Uwierzytelnianie wykorzystuje niezbędny plik cookie odświeżania z atrybutami Secure, HttpOnly i SameSite=Lax, ograniczony do ścieżek uwierzytelniania WWW FitAIss. JavaScript nie może odczytać tego cookie. Służy ono do utrzymania i rotacji sesji i jest usuwane przy wylogowaniu; aplikacja nie wymaga reklamowego pliku cookie.

Powiadomienia Web Push

Po wyraźnej zgodzie w przeglądarce FitAIss może zapisać endpoint push przeglądarki, publiczne klucze szyfrowania, język, strefę czasową, skróconą informację o przeglądarce, stan dostarczenia i techniczne kody błędów dla przypomnień o nawykach. Endpoint i klucze są szyfrowane w bazie i nie służą reklamie. Subskrypcja przeglądarki jest usuwana przy wylogowaniu, gdy jest dostępna, a nieprawidłowe endpointy są automatycznie wyłączane. Treść powiadomienia jest celowo neutralna i nie ujawnia na ekranie blokady informacji o posiłkach, masie ani innych danych wellness.

Dane rozliczeń WWW Stripe

Po włączeniu płatności WWW Stripe przetwarza dane karty lub dostępnego portfela jako dostawca usługi płatniczej zgodnie z własną informacją o prywatności. FitAIss otrzymuje wyłącznie identyfikatory klienta Stripe, sesji kasy, ceny, subskrypcji, faktury, statusu płatności, waluty, odnowienia, anulowania, zwrotu i sporu potrzebne do dostarczenia i rozliczenia planu, zapobiegania podwójnym subskrypcjom oraz obsługi zgłoszeń. FitAIss nie otrzymuje ani nie zapisuje pełnego numeru karty. Wymagane dokumenty księgowe są przechowywane przez okres wynikający z prawa.