Polityka prywatności aplikacji Koszyk+
1. Administrator i zakres polityki
Administratorem danych jest DMCOREX SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, ul. Marszałka Józefa Piłsudskiego 34, 32-555 Zagórze, Polska, KRS 0001240695, NIP 6282305706, REGON 544704613. Kontakt w sprawach prywatności: kontakt@dmcorex.pl.
Polityka dotyczy aplikacji mobilnej Koszyk+ o identyfikatorze pakietu pl.koszykplus.app.
2. Jakie dane przetwarza aplikacja
- dane konta Google/Firebase: identyfikator użytkownika, adres e-mail i dane potrzebne do uwierzytelnienia;
- dane profilu i planu: status konta, okres próbny, Premium, limity i kody promocyjne;
- dane techniczne i bezpieczeństwa: token FCM, identyfikatory dokumentów, wersje synchronizacji oraz rejestr operacji administracyjnych zawierający rodzaj działania, identyfikator administratora i — do czasu usunięcia konta — identyfikator konta, którego dotyczy operacja;
- dane grup: nazwy grup, nazwy członków ustawione w grupach, identyfikatory członków oraz zaproszenia e-mail i QR;
- dane zakupowe: produkty, ilości, jednostki, sklepy, rezerwacje, osoby kupujące, statusy zakupu, wysłane listy i historię grupową;
- dane lokalne: prywatny koszyk, prywatną historię, ustawienia, pamięć synchronizacji i raport diagnostyczny;
- informacje przekazane dobrowolnie w zgłoszeniu do pomocy technicznej lub we wniosku dotyczącym danych.
3. Gdzie dane są przechowywane
Prywatny koszyk i prywatna historia są co do zasady przechowywane lokalnie na urządzeniu. Dane grup, zaproszeń, członkostwa, wspólnych produktów, wysłanych list i historii grupowej są przechowywane w Firebase, ponieważ muszą być synchronizowane między użytkownikami.
4. Cele i podstawy prawne
Dane są przetwarzane w celu logowania i prowadzenia konta, synchronizacji grup, obsługi zaproszeń i list, wysyłania powiadomień, prowadzenia historii, stosowania limitów konta, zarządzania Premium i kodami promocyjnymi, obsługi uprawnionych operacji administracyjnych, zapewnienia bezpieczeństwa, diagnozowania błędów oraz wykonania obowiązków prawnych. Podstawą jest odpowiednio art. 6 ust. 1 lit. b, c lub f RODO.
5. Powiadomienia
Aplikacja korzysta z Firebase Cloud Messaging. Token urządzenia służy wyłącznie do kierowania powiadomień związanych z Koszyk+, takich jak zaproszenia, listy i zmiany w grupie. Powiadomienia można ograniczyć lub wyłączyć w aplikacji i ustawieniach Androida.
6. Mikrofon i rozpoznawanie mowy
Dostęp do mikrofonu jest używany tylko po uruchomieniu dodawania głosowego. Koszyk+ nie zapisuje własnych plików audio. Rozpoznawanie może być realizowane przez usługę systemową Android/Google zgodnie z zasadami jej dostawcy.
7. Diagnostyka
Diagnostyka pomaga wykrywać błędy. Raport pozostaje lokalnie i nie jest automatycznie wysyłany do DMCOREX. Użytkownik decyduje, czy go wyeksportować i przekazać pomocy technicznej. Raport może zawierać zdarzenia techniczne, komunikaty błędów, czasy operacji i skrócone identyfikatory.
8. Odbiorcy i udostępnianie
Dane mogą być przetwarzane przez Google/Firebase jako dostawcę infrastruktury. Informacje potrzebne do wspólnych zakupów są udostępniane członkom tej samej grupy. Koszyk+ nie sprzedaje danych, nie udostępnia ich reklamodawcom i nie używa ich do reklamy behawioralnej. Dane mogą zostać przekazane organom publicznym, gdy wymagają tego przepisy.
9. Przekazywanie poza EOG
Google/Firebase może przetwarzać dane poza Europejskim Obszarem Gospodarczym. W takim przypadku stosowane są zabezpieczenia przewidziane prawem, takie jak decyzja o odpowiednim stopniu ochrony lub standardowe klauzule umowne.
10. Okres przechowywania
Dane są przechowywane tylko przez okres potrzebny do działania funkcji, realizacji żądania użytkownika lub wykonania obowiązku prawnego. Dane tymczasowe mogą być usuwane automatycznie. Rejestr operacji administracyjnych jest przechowywany maksymalnie przez 24 miesiące w celu bezpieczeństwa i rozliczalności; po usunięciu konta jego bezpośredni identyfikator w takim rejestrze jest zastępowany skrótem technicznym. Dane lokalne pozostają na urządzeniu do ich usunięcia, wyczyszczenia danych aplikacji albo odinstalowania aplikacji.
11. Usuwanie konta i danych
Konto można usunąć w aplikacji: Ustawienia → Konto → Usuń konto. Usuwane są konto Firebase Authentication i powiązane dane aplikacyjne. Jeżeli konto usuwa właściciel grupy, należąca do niego grupa wraz z jej danymi jest usuwana; w pozostałych grupach usuwane jest członkostwo użytkownika.
Konto można również usunąć bez instalowania aplikacji na stronie Usuwanie konta i danych. Użytkownik potwierdza własność konta, logując się tym samym kontem Google, którego używa w Koszyk+. Po dodatkowym potwierdzeniu serwer automatycznie usuwa zweryfikowane konto i powiązane dane; zgłoszenie nie wymaga ręcznej realizacji przez administratora. Lokalne raporty diagnostyczne na urządzeniu mogą wymagać osobnego wyczyszczenia w aplikacji lub ustawieniach Androida.
12. Prawa użytkownika
Użytkownik może żądać dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia danych — gdy ma zastosowanie — oraz wnieść sprzeciw. Może także złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Wnioski można wysyłać na kontakt@dmcorex.pl.
13. Bezpieczeństwo
Stosujemy uwierzytelnienie Google/Firebase, kontrolę dostępu i funkcje serwerowe dla operacji wymagających uprawnień. Dostęp do panelu administratora wymaga osobnej roli sprawdzanej przez serwer, a operacje zmieniające konta, Premium i kody promocyjne są zapisywane w rejestrze bezpieczeństwa. Żaden system nie może jednak całkowicie wyeliminować wszystkich zagrożeń.
14. Dane, których aplikacja nie pozyskuje do własnych celów
Koszyk+ nie wymaga dostępu do lokalizacji GPS ani kontaktów telefonu, nie wyświetla reklam i nie prowadzi profilowania reklamowego.
15. Dobrowolność podania danych i skutki ich niepodania
Podanie danych jest dobrowolne, ale część danych jest niezbędna do zawarcia i wykonania umowy o korzystanie z funkcji wymagających konta. Brak danych logowania uniemożliwi utworzenie konta i korzystanie z funkcji grupowych. Brak danych grupy, zaproszenia lub listy uniemożliwi wykonanie wskazanej funkcji synchronizowanej.
16. Zautomatyzowane podejmowanie decyzji i profilowanie
Koszyk+ nie podejmuje wobec użytkowników decyzji wywołujących skutki prawne lub w podobny sposób istotnie na nich wpływających wyłącznie w sposób zautomatyzowany. Aplikacja nie prowadzi profilowania reklamowego.
17. Zmiany polityki
Polityka może być aktualizowana wraz z rozwojem aplikacji lub zmianą prawa. Data aktualizacji jest podawana na początku dokumentu.