Polityka prywatności Ogarniacza

Ostatnia aktualizacja: 28 lipca 2026.

1. Administrator danych

Administratorem danych osobowych przetwarzanych w aplikacji Ogarniacz jest:

Tomasz Wilczyński Kontakt w sprawach ochrony danych osobowych: [email protected]

Administrator nie wyznaczył Inspektora Ochrony Danych (IOD) — przy obecnej skali przetwarzania nie jest to wymagane przepisami RODO. Wszystkie pytania, wnioski o realizację praw oraz skargi dotyczące danych osobowych przyjmuje administrator pod adresem powyżej.

2. Jakie dane przetwarzamy

2.1 Dane konta

Adres e-mail i hasło (hasło jest zarządzane bezpośrednio przez Supabase Auth — administrator nie przechowuje go w postaci, którą mógłby odczytać) oraz nazwa wyświetlana podana przy rejestracji.

2.2 Dane rodziny, którą zarządzasz w aplikacji

• dane dzieci: imię, wiek/data urodzenia, kolor przypisany w kalendarzu, ewentualne preferencje wpisane przez

Ciebie (np. przy generowaniu listy pakowania),

• dane dorosłych członków rodziny: imię, rola, kolor przypisany w kalendarzu,
• wydarzenia: tytuł, opis, data i godzina, przypisanie do dziecka/dorosłego, checklisty,
• wyjazdy: cel, daty, liczba dni, wiek dzieci, dane pogodowe, listy pakowania i opcjonalne przykładowe plany

wyjazdu,

• stałe rzeczy przypisane dziecku/dorosłemu (np. wyposażenie szkolne, rzeczy do pakowania),
• notatki rodzinne bez daty wraz z własnymi etykietami, listy zakupów i ich pozycje, opłaty zapisywane w sekcji

Organizacja oraz ręcznie wpisane dane budżetu domowego (nazwy i stany kont bankowych, nazwy i zadłużenie kart kredytowych, historia stanów na dany dzień, spodziewane wpływy, bufor bezpieczeństwa i dzienny budżet życia),

• treść zaproszeń do rodziny: adres e-mail osoby zapraszanej, status zaproszenia.

2.3 Dane przesyłane do funkcji importu AI

Zrzuty ekranu, zdjęcia, pliki PDF/TXT lub nagrania głosowe, które przesyłasz, żeby aplikacja rozpoznała z nich wydarzenia. Patrz pkt 5.3 i 6 — te pliki nie są przez nas archiwizowane, służą tylko do jednorazowej analizy.

2.4 Dane techniczne i diagnostyczne

• Logi błędów (Sentry) — opisane szczegółowo w pkt 5.4.
• Liczniki dziennego wykorzystania funkcji AI (potrzebne do limitów opisanych w pkt 4).
• Ustawienia przypomnień poza aplikacją: informacja, czy włączono e-mail lub web push, wybrana częstotliwość,

godzina wysyłki, techniczny endpoint subskrypcji web push oraz klucze publiczne subskrypcji zapisane przez przeglądarkę. Przy wysyłce przypomnienia przetwarzamy treść krótkiego digestu: tytuły wydarzeń, godziny, imiona przypisanych dzieci i liczbę rzeczy do ogarnięcia.

• Dane linku subskrypcji kalendarza, jeśli użytkownik go wygeneruje: hash tokenu używany do sprawdzania linku

oraz osobno zaszyfrowana kopia potrzebna do ponownego pokazania aktywnego URL-u. Sam feed .ics może zawierać tytuły wydarzeń, daty, godziny, przypisaną osobę i checklistę w opisie wydarzenia.

• Techniczne zdarzenia aktywności do operacyjnego monitoringu usługi: rodzaj operacji (np. załadowanie danych),

znacznik czasu, czasy odpowiedzi, podstawowe pomiary startu i wydajności web (np. czas gotowości dokumentu, pobrania głównego skryptu i LCP) oraz identyfikator konta i rodziny. Zdarzenia te nie zawierają treści rodzinnych — imion dzieci, tytułów wydarzeń, notatek, checklist ani przesyłanych plików — i służą wyłącznie do oceny stabilności i faktycznego wykorzystania funkcji aplikacji (np. ile kont było aktywnych danego dnia).

• Gdy wejście do aplikacji następuje z publicznej strony Ogarniacza przez oznaczony link, zapisujemy etap

przejścia (uruchomienie demo albo przejście do rejestracji) i trzy krótkie parametry kampanii: źródło, medium oraz nazwę materiału. Przed zalogowaniem zdarzenie jest anonimowe — nie zapisujemy z nim identyfikatora konta, rodziny ani treści rodzinnej. Jeśli w ciągu 30 dni użytkownik uwierzytelni konto, zapisujemy techniczne domknięcie tego samego lejka przy koncie, żeby ocenić, czy publiczne poradniki pomagają znaleźć usługę.

3. Cele i podstawy prawne przetwarzania

4. Kto wprowadza dane dzieci i na jakiej podstawie

Ogarniacz jest aplikacją dla opiekunów, nie dla dzieci. Konto zakłada i obsługuje osoba dorosła (rodzic/ opiekun), która samodzielnie wprowadza dane swoich dzieci w ramach zarządzania rodziną. Dzieci nie zakładają kont, nie logują się i nie są bezpośrednimi użytkownikami aplikacji w rozumieniu RODO — są osobami, których dane przetwarza ich opiekun prawny za pomocą aplikacji, na zasadach analogicznych do prowadzenia notatnika czy kalendarza rodzinnego.

Rodzic lub opiekun odpowiada za zgodność z prawem wprowadzenia danych dziecka do aplikacji oraz za posiadanie odpowiedniej podstawy do ich przetwarzania (w tym zgody współopiekuna, jeśli wymagana). Administrator przetwarza dane dzieci wyłącznie w zakresie niezbędnym do świadczenia usługi opisanej w Regulaminie na rzecz opiekuna korzystającego z aplikacji.

5. Komu przekazujemy dane (podwykonawcy)

Nie sprzedajemy danych. Korzystamy z poniższych dostawców, którzy przetwarzają dane w naszym imieniu na podstawie umów powierzenia przetwarzania danych:

5.1 Supabase (baza danych i logowanie)

Przechowuje wszystkie dane konta i rodziny opisane w pkt 2.1–2.2 oraz obsługuje logowanie i generowanie linków aktywacji konta, zaproszeń i resetu hasła. Infrastruktura działa w regionie Unii Europejskiej. Same wiadomości e-mail z tymi linkami są dostarczane przez Resend (pkt 5.6).

5.2 Railway (hosting backendu) i Cloudflare Pages (hosting aplikacji webowej)

Railway uruchamia serwer API, przez który przechodzą Twoje żądania (zapis wydarzeń, wywołania AI). Cloudflare Pages serwuje wersję webową aplikacji. Żadny z nich nie przechowuje trwale danych rodziny — Railway przetwarza żądania „w przelocie”, dane trwałe trzyma Supabase.

5.3 Dostawca AI — OpenAI LLC

Gdy korzystasz z importu ze zdjęcia, dokumentu, nagrania głosowego, sugestii pakowania, przykładowego planu wyjazdu lub estymacji pogody (dla wyjazdów poza horyzontem prawdziwej prognozy — pkt 5.5), treść Twojego zapytania (np. obraz, treść dokumentu, nagranie/transkrypcja, opis wyjazdu albo kontekst listy pakowania) jest przesyłana bezpośrednio do OpenAI LLC w celu analizy. Sam plik (zdjęcie, PDF, nagranie) nie jest przez Ogarniacza zapisywany w bazie danych ani archiwizowany jako historia importów — przechowujemy tylko wynik, który zaakceptujesz przed zapisem (pkt 6).

Na koncie OpenAI używanym przez Ogarniacza wyłączyliśmy organizacyjne logowanie wywołań API („API call logging”), a wywołania Responses API wysyłamy z parametrem store: false, żeby nie zapisywać odpowiedzi jako stanu aplikacyjnego po stronie OpenAI. Zgodnie z dokumentacją OpenAI dane przesyłane do API nie są używane do trenowania lub ulepszania modeli OpenAI, chyba że właściciel konta wyraźnie włączy takie udostępnianie danych.

Nie mamy obecnie formalnie zatwierdzonego trybu „zero data retention” (ZDR) ani „modified abuse monitoring” u OpenAI. Oznacza to, że mimo wyłączonego logowania i store: false OpenAI może nadal przetwarzać lub przechowywać ograniczone dane techniczne albo treść żądań przez ograniczony czas w celach bezpieczeństwa, wykrywania nadużyć, egzekwowania zasad korzystania lub zgodnie z prawem. Ten opis zostanie zaktualizowany, jeśli OpenAI zatwierdzi dla Ogarniacza ZDR/MAM albo jeśli zmieni się istotny zakres przetwarzania przez dostawcę AI.

Administrator może zmienić dostawcę modeli AI na innego dostawcę o porównywalnym poziomie bezpieczeństwa, jeśli będzie to potrzebne do świadczenia usługi. OpenRouter pozostaje skonfigurowany wyłącznie jako techniczny fallback po stronie backendu. Jeśli zmiana dostawcy wpłynie na zakres danych, cele przetwarzania, retencję albo transfery poza EOG, Polityka prywatności i — jeśli będzie to konieczne — Regulamin zostaną zaktualizowane przed takim wdrożeniem na produkcji.

5.4 Sentry (monitoring błędów)

W razie błędu technicznego wysyłamy do Sentry zgłoszenie diagnostyczne. Świadomie nie wysyłamy: treści wydarzeń, imion dzieci/dorosłych, treści checklist, przesyłanych plików ani tokenów sesji — te pola są automatycznie odfiltrowywane przed wysyłką. Zgłoszenie zawiera środowisko (staging/produkcja), wersję aplikacji, nazwę trasy/endpointu i typ błędu.

5.5 Dane pogodowe — MET Norway i OpenStreetMap (Nominatim)

Dla wyjazdów rozpoczynających się w najbliższych dniach aplikacja pobiera prawdziwą prognozę pogody zamiast estymaty AI. W tym celu wysyłamy: nazwę destynacji wpisaną przy wyjeździe do usługi geokodowania Nominatim (OpenStreetMap Foundation) w celu ustalenia współrzędnych geograficznych, a następnie same współrzędne i daty wyjazdu do serwisu prognoz MET Norway (Norweski Instytut Meteorologiczny). Nie przesyłamy przy tym żadnych danych konta, imion, identyfikatorów użytkownika ani innych danych rodziny — wyłącznie nazwę miejsca i zakres dat.

Dane prognozy pochodzą z MET Norway na licencji CC BY 4.0, a geokodowanie z danych © OpenStreetMap contributors (licencja ODbL); wymagana atrybucja jest wyświetlana w aplikacji przy prognozie. Dla wyjazdów odleglejszych niż horyzont wiarygodnej prognozy (ok. 9 dni) pogoda pozostaje estymatą klimatyczną dostawcy AI (pkt 5.3).

5.6 Resend (wysyłka wiadomości e-mail)

Wiadomości e-mail wysyłane przez Ogarniacza — aktywacja konta, zaproszenia do rodziny, reset hasła oraz opcjonalny poranny digest przypomnień, jeśli użytkownik sam go włączy — są dostarczane przez usługę Resend (Resend, Inc.) i wychodzą z adresu [email protected]. Resend przetwarza w tym celu adres e-mail odbiorcy oraz treść wiadomości (np. link aktywacyjny, link zaproszenia albo digest z tytułami dzisiejszych wydarzeń, godzinami, imionami przypisanych dzieci i liczbą zaległych checklist). Resend nie ma dostępu do pozostałych danych rodziny przechowywanych w aplikacji.

5.7 Web push (przeglądarka / system operacyjny)

Jeśli użytkownik włączy powiadomienia web push, przeglądarka zapisuje techniczną subskrypcję push (endpoint oraz klucze publiczne), którą przechowujemy w Supabase i wykorzystujemy wyłącznie do wysyłki przypomnień. Treść powiadomienia zawiera krótki tytuł i opis digestu, link do aplikacji oraz licznik badge. Dostarczenie powiadomienia odbywa się przez usługę push przeglądarki lub systemu operacyjnego (np. Apple, Google, Mozilla), zależnie od urządzenia użytkownika. Po wyłączeniu push w aplikacji subskrypcja jest usuwana po stronie backendu; martwe subskrypcje usuwamy również automatycznie, gdy usługa push zgłosi błąd 404/410.

5.8 Subskrybowany link kalendarza

Jeśli użytkownik wygeneruje link subskrypcji kalendarza, tworzymy niezgadywalny token. Do wyszukiwania feedu backend używa wyłącznie jego jednokierunkowego hasha, a kopię potrzebną do ponownego pokazania aktywnego URL-u przechowuje osobno w postaci zaszyfrowanej. Link pozwala pobrać feed .ics bez logowania, dlatego należy traktować go jak sekret: każda osoba lub usługa, która ma link, może odczytać udostępnione w nim wydarzenia rodziny. Feed zawiera dane potrzebne do wyświetlenia wydarzeń w zewnętrznym kalendarzu, w szczególności tytuł, datę, godzinę, przypisaną osobę oraz checklistę w opisie wydarzenia. Link można w każdej chwili odwołać w aplikacji; odwołany link przestaje działać.

Po dodaniu linku do Google Calendar, Apple Calendar albo innego kalendarza zewnętrznego dane z feedu są przetwarzane także przez dostawcę tego kalendarza zgodnie z jego własnymi zasadami. Synchronizacja jest jednokierunkowa: z Ogarniacza do zewnętrznego kalendarza. Zmiany wykonane w zewnętrznym kalendarzu nie są zapisywane z powrotem w Ogarniaczu.

5.9 Przekazywanie danych poza Europejski Obszar Gospodarczy

Główna baza danych Supabase działa w regionie Unii Europejskiej. Część dostawców infrastruktury (np. Cloudflare, Railway, Sentry) może przetwarzać dane techniczne, metadane ruchu lub obsługiwać żądania przez infrastrukturę globalną, także poza Europejskim Obszarem Gospodarczym. Dostawca modeli AI (OpenAI LLC; ewentualnie OpenRouter jako fallback) może przetwarzać przesłaną treść (pkt 5.3) na serwerach w Stanach Zjednoczonych. Dostawca usługi wysyłki e-mail (Resend, Inc.) ma siedzibę w Stanach Zjednoczonych i może przetwarzać adres e-mail odbiorcy oraz treść wiadomości (pkt 5.6) na serwerach poza EOG. Usługa push przeglądarki lub systemu operacyjnego może przetwarzać techniczny endpoint i treść powiadomienia poza EOG, zależnie od dostawcy przeglądarki/systemu. Takie transfery odbywają się na podstawie standardowych klauzul umownych (SCC) lub innego mechanizmu zgodności przewidzianego przez RODO dla transferu danych do państw trzecich, stosowanego przez danego dostawcę.

Serwis prognoz MET Norway działa w Norwegii (państwo EOG). Usługa geokodowania Nominatim jest prowadzona przez OpenStreetMap Foundation z siedzibą w Wielkiej Brytanii — kraju objętym decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony danych; przekazywana jest tam wyłącznie nazwa destynacji (pkt 5.5).

6. Pliki przesyłane do importu — brak archiwizacji

Zrzuty ekranu, zdjęcia, dokumenty PDF/TXT i nagrania głosowe przesyłane do funkcji importu są używane tylko do jednorazowej analizy i nie są zapisywane w naszej bazie danych ani w historii importów. Po otrzymaniu wyniku analizy z AI zapisywane są wyłącznie wydarzenia, które samodzielnie zaakceptujesz na ekranie korekty — sam plik źródłowy jest po naszej stronie odrzucany. Nie budujemy archiwum przesłanych plików. Czas ewentualnego przetwarzania lub retencji po stronie dostawcy AI opisuje pkt 5.3.

7. Bezpieczeństwo danych

• Połączenie między Twoim urządzeniem a naszym backendem oraz między backendem a Supabase jest szyfrowane

(TLS/HTTPS).

• Dane w bazie Supabase są szyfrowane „at rest” na poziomie infrastruktury dostawcy.
• Dodatkowo szyfrujemy wrażliwą treść rodzinną po stronie serwera. Zanim dane trafią do bazy, ich treść

tekstowa — tytuły i opisy wydarzeń i opłat, notatki i nazwy ich etykiet, imiona dzieci i dorosłych, cele i plany wyjazdów, pozycje list pakowania i list rzeczy do przygotowania, nazwy i pozycje list zakupów, nazwy wpisanych ręcznie kont/kart w budżecie, rozbicie wpływów per opiekun oraz kopia aktywnego tokenu feedu kalendarza — jest szyfrowana kluczem, który przechowujemy poza bazą danych. W bazie zapisany jest wtedy szyfrogram, a nie czytelny tekst. Chroni to Twoje dane na wypadek nieuprawnionego dostępu do samej bazy lub jej kopii. Niezaszyfrowane pozostają dane techniczne potrzebne do działania aplikacji (np. daty, identyfikatory, hash tokenu kalendarza, kwoty opłat, kwoty stanów kont/kart, bufor i dzienny budżet życia), które same w sobie nie ujawniają pełnej treści rodzinnej. Obecna funkcja budżetu nie zapisuje wyciągów bankowych ani listy pojedynczych transakcji.

• To nie jest szyfrowanie end-to-end. Klucz szyfrujący jest po naszej stronie, więc administrator oraz

dostawca AI (w momencie analizy importu) mają techniczną możliwość odczytu treści w postaci niezaszyfrowanej (plaintext) — jest to niezbędne, aby aplikacja mogła wyświetlać Twoje dane, wysyłać przypomnienia oraz rozpoznawać wydarzenia przez model językowy. Jeśli zależy Ci na pełnej prywatności end-to-end, nie zalecamy wprowadzania do importu AI treści, których nie chcesz, by przetwarzał zewnętrzny dostawca modelu.

• Aplikacja nie zawiera dedykowanego modułu do przechowywania danych medycznych ani zdrowotnych. Mimo to

zwykłe pola tekstowe (np. notatki, opisy wydarzeń, nazwy stałych rzeczy) pozwalają wpisać dowolną treść, dlatego zalecamy nie wpisywać szczególnie wrażliwych danych, jeśli nie jest to konieczne.

• Lokalny cache aplikacji na Twoim urządzeniu (dane wyświetlane offline/przy starcie) jest przechowywany w

postaci niezaszyfrowanej w lokalnym magazynie urządzenia (AsyncStorage na mobile, localStorage na webie). Token zaproszenia rodzinnego jest przechowywany w ten sam sposób. Oznacza to, że osoba mająca fizyczny dostęp do odblokowanego urządzenia lub przeglądarki może odczytać te dane lokalnie — zalecamy zabezpieczenie urządzenia własną blokadą ekranu/logowaniem systemowym.

• Dostęp do danych rodziny w bazie jest ograniczony do kont należących do tej rodziny — każdy zapis i odczyt

jest filtrowany po identyfikatorze rodziny/użytkownika po stronie backendu.

8. Okres przechowywania danych

• Dane konta i rodziny: przez cały czas posiadania aktywnego konta.
• Po zleceniu usunięcia konta (pkt 10) niezwłocznie rozpoczynamy usunięcie konta logowania i danych aplikacyjnych.

Jeśli końcowy krok u dostawcy Auth albo czyszczenie danych przerwie błąd techniczny, trwałe zadanie ponawia go automatycznie do zakończenia. Dane współdzielone z innymi opiekunami w tej samej rodzinie (np. wydarzenia, wyjazdy, notatki i listy zakupów) nie są usuwane — pozostają przypisane do rodziny i pozostałych opiekunów.

• Zaproszenia do rodziny wygasają automatycznie po 7 dniach od wysłania, jeśli nie zostaną zaakceptowane.
• Liczniki dziennego wykorzystania funkcji AI: przechowywane krótkoterminowo, do celów rozliczenia limitu

dziennego, usuwane razem z kontem.

• Techniczne zdarzenia aktywności (pkt 2.4): przechowywane do celów operacyjnego monitoringu usługi; przy

usunięciu konta są trwale odłączane od identyfikatora konta i rodziny, przez co przestają być powiązane z jakąkolwiek osobą.

• Zgłoszenia diagnostyczne w Sentry: zgodnie ze standardową retencją dostawcy (domyślnie do 90 dni), bez

danych osobowych rodziny (pkt 5.4).

• Pliki przesłane do importu AI: nie są przechowywane w bazie danych Ogarniacza ani jako historia importów

(pkt 6); czas ewentualnego przechowywania po stronie dostawcy AI opisany w pkt 5.3.

• Kopie zapasowe bazy danych: mogą być wykonywane zgodnie z aktualnie używanym planem usług infrastrukturalnych

Supabase oraz ustawieniami projektu. Dane mogą pozostawać przez ograniczony czas w technicznych kopiach zapasowych, zgodnie z retencją właściwą dla danego planu. Kopie te służą wyłącznie odtworzeniu usługi po awarii; nie są używane jako aktywna historia danych użytkownika.

9. Twoje prawa

Zgodnie z RODO masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii,
• sprostowania nieprawidłowych danych,
• usunięcia danych („prawo do bycia zapomnianym”) — w aplikacji możesz to zrobić samodzielnie w Profilu

(usunięcie konta), patrz pkt 10,

• ograniczenia przetwarzania w określonych przypadkach,
• przenoszenia danych do innego administratora w ustrukturyzowanym formacie — wydarzenia możesz też

w każdej chwili samodzielnie wyeksportować do pliku .ics (ekran Kalendarz) i zaimportować w innym kalendarzu albo udostępnić zewnętrznemu kalendarzowi przez odwoływalny link subskrypcji,

• wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (pkt 3),
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO), jeśli uznasz, że przetwarzanie

narusza RODO.

Wnioski dotyczące powyższych praw przyjmujemy pod adresem [email protected].

10. Usunięcie konta

Możesz usunąć konto samodzielnie w Profilu aplikacji. Co się dzieje w zależności od Twojej roli w rodzinie:

• Jeśli jesteś jedynym opiekunem w rodzinie (jej właścicielem) i nie ma innych opiekunów — usuwane jest

całe konto razem z całą rodziną: dzieci, dorośli, wydarzenia, wyjątki wydarzeń cyklicznych, wyjazdy, checklisty, listy pakowania i zakupów, notatki, opłaty, budżet, zaproszenia i link feedu kalendarza.

• Jeśli jesteś właścicielem rodziny, w której są inni opiekunowie — musisz najpierw usunąć ich z rodziny

(w ustawieniach rodziny), zanim będziesz mógł usunąć własne konto, żeby nie usunąć danych, do których wciąż mają dostęp.

• Jeśli jesteś opiekunem (nie właścicielem) — Twoje konto jest usuwane, a dane, które utworzyłeś (np.

wydarzenia), przechodzą na właściciela rodziny, żeby nie zniknęły dla pozostałych opiekunów. Sam opuszczasz rodzinę.

Proces rozpoczyna się niezwłocznie. Najpierw bezpiecznie przygotowujemy dane rodziny, następnie usuwamy konto logowania i dane aplikacyjne. Jeśli po usunięciu logowania końcowe czyszczenie danych nie powiedzie się z powodu chwilowej awarii, zapisane trwałe zadanie ponawia je automatycznie; nie traktujemy go jako dodatkowego okresu retencji ani nie wykorzystujemy danych do innych celów. Ograniczona obecność danych w technicznych kopiach zapasowych podlega zasadom z pkt 8.

11. Pliki cookie i lokalny magazyn (wersja webowa)

Wersja webowa aplikacji używa lokalnego magazynu przeglądarki (localStorage) do przechowywania sesji logowania i lokalnego cache danych. Jeśli aplikacja została otwarta z oznaczonego linku na naszej publicznej stronie, localStorage przechowuje także przez maksymalnie 30 dni źródło, medium i nazwę kampanii oraz informację, czy odnotowano późniejsze uwierzytelnienie; sessionStorage zapobiega wielokrotnemu wysłaniu tego samego etapu w jednej sesji przeglądarki. Nie zapisujemy w tych polach treści stron, wyszukiwanego hasła ani danych rodziny. Nie używamy cookies do śledzenia ani reklam i nie korzystamy z zewnętrznej analityki śledzącej użytkowników między stronami.

12. Zmiany polityki prywatności

O istotnych zmianach tej polityki poinformujemy w aplikacji. Data ostatniej aktualizacji znajduje się na początku dokumentu.

13. Kontakt

W sprawach związanych z ochroną danych osobowych: [email protected].