Polityka prywatności

1. Administrator danych

Administratorem danych jest [CEIDG_LEGAL_NAME], z adresem wykonywania działalności [CEIDG_ADDRESS], NIP [CEIDG_NIP].

Kontakt w sprawach prywatności: hello@flshcrds.app.

2. Zakres

Polityka dotyczy aplikacji flshcrds (iOS/Android) oraz strony marketingowej flshcrds.app, w tym stron Polityki i Regulaminu.

Nie dotyczy stron internetowych, sklepów z aplikacjami, systemów operacyjnych ani usług osób trzecich, do których linkujemy (Apple, Google, Facebook, Instagram, RevenueCat i podobne mogą działać jako niezależni administratorzy według własnych polityk). Link nie oznacza poparcia.

Jeśli prowadzimy konto na platformie społecznościowej, to co tam publikujesz podlega regulaminowi tej platformy. Nie kontrolujemy innych użytkowników ani samej platformy.

3. Wymóg wieku

Usługa jest produktem edukacyjnym o charakterze ogólnoodbiorczym. Nie jest skierowana do dzieci.

Aby założyć konto lub korzystać z Usługi, musisz mieć ukończone 16 lat. Jeśli dowiemy się, że prowadzimy konto osoby poniżej 16 lat, usuniemy je.

4. Jakie dane przetwarzamy

Konto i tożsamość: adres e-mail oraz identyfikatory uwierzytelniania przy logowaniu (OAuth Google i/lub Facebook przez dostawcę auth), a także pola profilu, które ustawisz (np. nazwa wyświetlana).

Biblioteka nauki: stosy, notatki, karty, typy notatek, stan harmonogramu oraz historia powtórek — w tym treści, które wpiszesz lub zaimportujesz (CSV, paczki Anki, udostępnione stosy).

Urządzenie i synchronizacja: preferencje lokalne; synchronizacja biblioteki z naszymi serwerami; strefa czasowa IANA oraz token push, gdy zezwolisz na powiadomienia — do odznaki na ikonie aplikacji (kolejka na dziś), nie do spamu marketingowego.

Zakupy: status subskrypcji / zakupów in-app przez sklepy i RevenueCat (uprawnienia). Nie otrzymujemy pełnego numeru karty płatniczej.

Wsparcie i korespondencja: jeśli napiszesz na hello@flshcrds.app lub skontaktujesz się z nami w inny sposób, przetwarzamy użyty adres oraz treść tej wymiany (w tym zrzuty ekranu lub logi, które załączysz).

Informacje z innych źródeł: gdy zalogujesz się przez Google lub Facebook, ci dostawcy przesyłają nam identyfikatory uwierzytelniania i zwykle Twój e-mail, bo o to poprosiłeś. Nie otrzymujemy hasła do tych kont.

Diagnostyka: jeśli włączymy narzędzie raportowania awarii, logi techniczne o crashach i stabilności (wersja urządzenia/aplikacji, stack trace). Nazwę dostawcy uzupełnimy w tej Polityce przed uruchomieniem tej funkcji.

Witryna: publiczna strona jest marketingowa. W tym wariancie nie prowadzimy analityki produktowej, pikseli reklamowych ani bannera zbędnych cookies na landingu. Mogą istnieć niezbędne logi hostingu/bezpieczeństwa po stronie infrastruktury (np. adres IP, czas i żądany URL).

5. Cele i podstawy prawne (RODO)

Świadczenie Usługi (konto, sync, nauka, import/eksport, odznaka): wykonanie umowy (art. 6 ust. 1 lit. b RODO).

Zakupy i uprawnienia: umowa oraz — w razie potrzeby — prawnie uzasadniony interes w zapobieganiu nadużyciom / przywracaniu zakupów (art. 6 ust. 1 lit. b i f).

Komunikacja o Usłudze (odpowiedzi na Twoje zgłoszenia, powiadomienia o bezpieczeństwie lub dostępności oraz istotne zmiany produktu lub Polityki): umowa (art. 6 ust. 1 lit. b) i/lub prawnie uzasadniony interes w administrowaniu Usługą (art. 6 ust. 1 lit. f). Nie wysyłamy niezamówionego marketingu.

Bezpieczeństwo, przeciwdziałanie nadużyciom i diagnostyka awarii: prawnie uzasadniony interes w stabilnej i bezpiecznej Usłudze (art. 6 ust. 1 lit. f), z uwzględnieniem Twoich praw.

Obowiązki prawne (np. rozliczenia związane z funkcjami płatnymi, odpowiedzi na ważne żądania organów publicznych): art. 6 ust. 1 lit. c.

Zagregowane lub zanonimizowane statystyki, które już Cię nie identyfikują, w celu prowadzenia i ulepszania Usługi: prawnie uzasadniony interes (art. 6 ust. 1 lit. f). W tym wariancie nie używamy pikseli reklamowych, reklam behawioralnych ani narzędzi segmentacji odbiorców.

Gdy wymagana jest zgoda (np. niektóre opcjonalne powiadomienia lub przyszłe nieistotne SDK), zapytamy przed włączeniem (art. 6 ust. 1 lit. a). Zgodę możesz cofnąć w dowolnym momencie; cofnięcie nie wpływa na przetwarzanie, które było zgodne z prawem przed cofnięciem.

6. Deck Share i treści użytkownika

Twoje notatki i karty są prywatne w ramach konta, dopóki ich nie udostępnisz.

Deck Share działa przez stabilny link zawierający identyfikator stosu. Znajomość linku jest zaproszeniem — w obecnym produkcie nie ma osobnego tokena, przełącznika unieważnienia ani wygaśnięcia.

Przed importem odbiorca widzi tylko metadane (nazwa stosu i liczba kart). Po potwierdzeniu Deck Import otrzymuje niezależną kopię treści na swoim koncie.

Nie udostępniaj stosów z danymi wrażliwymi lub poufnymi. Nie gwarantujemy poufności stosu, gdy jego link jest znany. Usunięcie Twojego konta nie usuwa kopii już zaimportowanych przez innych użytkowników.

7. Odbiorcy i procesorzy

Nie sprzedajemy Twoich danych osobowych. Korzystamy z dostawców, którzy przetwarzają dane na nasze zlecenie lub w opisanych rolach:

Supabase — uwierzytelnianie i hosting bazy (konta i biblioteka nauki).

Google i Facebook — logowanie (OAuth). Przetwarzają dane według własnych zasad, gdy korzystasz z ich logowania.

Apple i Google Play — dystrybucja aplikacji i zakupy in-app.

RevenueCat — zarządzanie subskrypcjami / uprawnieniami zakupów in-app.

Expo oraz infrastruktura push Apple/Google — dostarczanie tokena związanego z odznaką na ikonie.

Dostawca diagnostyki awarii — do wskazania przed uruchomieniem tej funkcji.

Poza tymi dostawcami możemy ujawnić dane: (a) właściwemu organowi publicznemu, sądowi lub podobnemu podmiotowi, gdy uważamy, że wymaga tego prawo, jest to potrzebne do ustalenia lub obrony roszczeń albo ochrony żywotnych interesów; (b) nabywcy i jego doradcom przy sprzedaży, fuzji lub podobnej transakcji — nabywca musi honorować tę Politykę albo powiadomimy Cię o zmianie; (c) każdej innej osobie za Twoją zgodą.

Gdy dostawca przetwarza dane osobowe na nasze zlecenie, stosujemy kroki umowne i organizacyjne zgodne z obowiązującym prawem, w tym umowę powierzenia przetwarzania, gdy jest wymagana.

Część dostawców może przetwarzać dane poza EOG. W razie potrzeby opieramy się na odpowiednich zabezpieczeniach (np. standardowe klauzule umowne) stosowanych przez tych dostawców.

8. Retencja

Nie przechowujemy danych osobowych dłużej, niż jest to potrzebne do celów, dla których je zebraliśmy. Czas zależy od tego, czy mamy obowiązek prawny lub umowny, czy dane są potrzebne do świadczenia Usługi oraz od tego, że rozsądnie oczekujesz, iż biblioteka pozostanie, dopóki jej nie usuniesz lub nie zamkniesz konta.

Konto i bibliotekę przechowujemy, dopóki konto jest aktywne.

Po usunięciu konta w aplikacji usuwamy konto i dane Usługi z systemów produkcyjnych bez zbędnej zwłoki. Kopie zapasowe mogą pozostać do 30 dni, bezpiecznie odizolowane od dalszego użycia, po czym są usuwane lub nadpisywane w cyklu backupów.

Sklepy i RevenueCat mogą przechowywać ewidencję zakupów według własnych zasad. Kopie treści zaimportowane przez innych użytkowników przez Deck Share pozostają na ich kontach.

9. Twoje prawa

Na podstawie RODO możesz mieć prawo do: dostępu (wiedzieć, jakie dane przetwarzamy); sprostowania nieprawidłowych danych; usunięcia danych („prawo do bycia zapomnianym”); ograniczenia przetwarzania; sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie; otrzymania danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (przenoszenie); oraz cofnięcia zgody, gdy przetwarzanie opiera się na zgodzie.

Konto możesz usunąć w aplikacji mobilnej (Ustawienia). Inne żądania kieruj na hello@flshcrds.app. Możemy poprosić o weryfikację tożsamości, aby odpowiedzieć zgodnie z prawem i sprawnie.

Prawa te podlegają wyjątkom i ograniczeniom w prawie — np. możemy zachować dane, które musimy przechowywać z mocy prawa, albo odmówić żądania, które negatywnie wpłynęłoby na prawa innych osób.

Możesz złożyć skargę do organu nadzorczego. W Polsce jest to Prezes Urzędu Ochrony Danych Osobowych (UODO). Dane kontaktowe organów UE/EOG publikuje Europejska Rada Ochrony Danych.

10. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne adekwatne do małej konsumenckiej aplikacji edukacyjnej (kontrola dostępu, szyfrowany transport, zabezpieczenia dostawców). Żadna metoda transmisji ani przechowywania nie jest całkowicie bezpieczna.

Musisz chronić dane logowania i nie udostępniać ich innym. Nie otrzymujemy ani nie przechowujemy Twojego hasła Google ani Facebook.

11. Zmiany

Możemy aktualizować tę Politykę. Wersja opublikowana pod https://flshcrds.app/pl/privacy jest aktualna. Przy istotnych zmianach podejmiemy rozsądne kroki powiadomienia (np. w aplikacji lub e-mailem), gdy będzie to wymagane.

12. Prawo właściwe

Polityka jest sporządzona z myślą o RODO i polskim prawie ochrony danych. Administrator ma siedzibę / miejsce wykonywania działalności w Polsce.

13. Kontakt

[CEIDG_LEGAL_NAME], [CEIDG_ADDRESS], NIP [CEIDG_NIP].

E-mail: hello@flshcrds.app.