Polityka prywatności

1. Administrator danych

Administratorem danych osobowych użytkowników aplikacji Scoffie („Aplikacja”) jest Rafał Piechowicz („Administrator”).

Kontakt w sprawach dotyczących danych osobowych: support@scoffie.app

2. Jakie dane przetwarzamy i skąd pochodzą

Konto (od Apple, przy logowaniu):

stabilny identyfikator użytkownika Apple (tzw. sub),
adres e-mail, w tym adres relay Apple, jeśli użytkownik wybierze opcję „Ukryj mój e-mail”,
imię i nazwisko, wyłącznie jeśli użytkownik udostępni je przy pierwszym logowaniu.

Profil (podawane przez użytkownika w kreatorze i Ustawieniach):

imię wyświetlane i kolor awatara,
sylwetka: płeć, wzrost, waga, rok urodzenia — używane wyłącznie do wyliczenia zapotrzebowania kalorycznego i makroskładników,
cel (np. redukcja, utrzymanie), poziom aktywności, cele kaloryczne i makro,
dieta i alergeny — są to dane dotyczące zdrowia w rozumieniu art. 9 RODO (patrz sekcja 3),
liczba i pory posiłków.

Gospodarstwo domowe i planowanie:

nazwa gospodarstwa, lista domowników i ich role, zaproszenia,
plany posiłków, uczestnicy posiłków, oznaczenia zjedzonych posiłków, listy zakupów wraz z historią, własne przepisy i ulubione.

Asystent AI (jeśli użytkownik z niego korzysta):

treść wiadomości użytkownika i odpowiedzi asystenta,
propozycje planu i decyzje użytkownika (zatwierdzenie, cofnięcie),
notatki pamięci gospodarstwa — krótkie fakty zapisane przez asystenta na prośbę użytkownika (np. „nie jemy pieczarek”),
dane o użyciu: liczba wiadomości i zapisanych planów, zużyte tokeny i koszt każdej odpowiedzi (do rozliczeń i limitów).

Zdrowie (Apple Health / HealthKit), jeśli użytkownik włączy tę integrację:

dzienna liczba kroków z ostatnich 14 dni oraz cel kroków.

Cookidoo (Thermomix), jeśli użytkownik połączy konto:

adres e-mail i hasło do konta Cookidoo użytkownika, przechowywane w postaci zaszyfrowanej (patrz sekcja 8).

Techniczne:

token urządzenia do powiadomień push (za zgodą na powiadomienia),
logi żądań: identyfikator użytkownika, adres IP, wersja aplikacji, czas i status żądania — bez treści wiadomości do asystenta,
dziennik zgód: rodzaj zgody, wersja dokumentu, data, źródło,
dane diagnostyczne: raporty awarii i zawieszeń aplikacji, czasy działania ekranów i żądań, model urządzenia, wersja systemu i aplikacji, identyfikator użytkownika — bez zrzutów ekranu, nagrań sesji, adresu IP i treści wpisywanych w aplikacji.

Zgłoszenia odpowiedzi asystenta (jeśli użytkownik z nich skorzysta):

treść zgłoszonej odpowiedzi, powód i komentarz użytkownika.

Wiadomości e-mail o koncie:

adres e-mail z konta i imię wyświetlane,
treść wiadomości: powitanie, dołączenie do gospodarstwa, wykorzystana pula asystenta, stan subskrypcji, usunięcie konta, zmiana dokumentów,
informacja, że wiadomość się odbiła albo została zgłoszona jako spam.

3. Cele i podstawy prawne

założenie i utrzymanie konta, gospodarstwo, planowanie posiłków, listy zakupów, powiadomienia o zmianach — wykonanie umowy, art. 6 ust. 1 lit. b RODO,
wyliczanie zapotrzebowania i personalizacja propozycji na podstawie profilu i preferencji — wykonanie umowy, art. 6 ust. 1 lit. b RODO,
dieta i alergeny (dane dotyczące zdrowia): przetwarzanie w Aplikacji — na podstawie wyraźnej zgody użytkownika wyrażonej przy ich podaniu (art. 9 ust. 2 lit. a RODO); przekazanie ich do asystenta AI — na podstawie odrębnej, wyraźnej zgody każdej osoby, której dotyczą (sekcja 6),
dane ze Zdrowia (kroki) — zgoda udzielona w systemie iOS przy włączaniu integracji (art. 9 ust. 2 lit. a RODO),
poświadczenia Cookidoo — zgoda wyrażona przy łączeniu konta (art. 6 ust. 1 lit. a RODO),
bezpieczeństwo, wykrywanie nadużyć, limity użycia i ochrona sesji — prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO,
wiadomości e-mail o koncie (sekcja 2) — wykonanie umowy, art. 6 ust. 1 lit. b RODO; bez marketingu i newsletterów,
lista adresów, na które wiadomość się odbiła albo które zgłosiły ją jako spam — prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO): nie wysyłamy tam ponownie,
obsługa zgłoszeń i realizacja praw — art. 6 ust. 1 lit. b i f RODO,
wykazanie udzielonych zgód i akceptacji dokumentów — obowiązek prawny, art. 6 ust. 1 lit. c w zw. z art. 7 ust. 1 RODO.

Zgody można cofnąć w każdej chwili w Aplikacji (zgoda na asystenta: menu asystenta → „Prywatność i zgoda”; integracje: Ustawienia) lub pisząc do Administratora; cofnięcie nie wpływa na zgodność z prawem przetwarzania sprzed cofnięcia.

4. Sign in with Apple i minimalny wiek

Logowanie odbywa się wyłącznie przy użyciu Sign in with Apple. Administrator nie otrzymuje hasła do konta Apple. Jeśli użytkownik wybierze opcję „Ukryj mój e-mail”, Apple przekazuje adres relay kierujący wiadomości na prawdziwy adres użytkownika.

Aplikacja jest przeznaczona dla osób, które ukończyły 16 lat. Osoby młodsze nie powinny zakładać konta ani podawać danych o zdrowiu; użytkownik potwierdza ukończenie 16 lat przy pierwszym uruchomieniu asystenta AI.

5. Gospodarstwo domowe — dane o domownikach

Dołączenie do gospodarstwa jest dobrowolne. Członkowie gospodarstwa współdzielą plan tygodnia, listy zakupów, własne przepisy i ustawienia gospodarstwa i mogą je modyfikować.

Co widzą o Tobie pozostali domownicy: imię i awatar, dietę, alergeny, cel kaloryczny i makro oraz Twój udział w posiłkach. Te dane są potrzebne, żeby wspólny plan uwzględniał każdego. Sylwetka (wzrost, waga, płeć, rok urodzenia) nie jest udostępniana domownikom ani asystentowi.

Skąd mamy dane o innych osobach: każdy domownik podaje swoje dane sam, w swoim koncie. Zapraszając kogoś do gospodarstwa, poinformuj tę osobę, jakie dane będą współdzielone. Gospodarstwo można w każdej chwili opuścić w Ustawieniach.

Udostępnianie przepisów linkiem. Przepis możesz wysłać komuś linkiem. Link do przepisu z katalogu jest stały i publiczny — nie zapisujemy, kto go wysłał. Link do własnego przepisu gospodarstwa powstaje dopiero, gdy go udostępnisz, i działa dla każdego, kto go ma: bez logowania widać tytuł, opis, zdjęcie, składniki i wartości odżywcze, a po otwarciu w Aplikacji — cały przepis. Link nie pokazuje autora, domowników ani nazwy gospodarstwa. Kartę z tytułem i zdjęciem pobiera też komunikator, w którym wysyłasz link. Strony przepisów nie są indeksowane przez wyszukiwarki.

Każdy domownik może wyłączyć link w Aplikacji; przestaje on też działać, gdy przepis zostanie usunięty. Odbiorca z kontem może zapisać przepis u siebie — kopia staje się przepisem jego gospodarstwa i zostaje także po wyłączeniu linku. Zapisujemy, który przepis ma aktywny link i kto go utworzył, oraz liczby udostępnień, otwarć i zapisów bez powiązania z osobami. Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO) — to funkcja, z której korzystasz na własne życzenie.

6. Asystent AI

Asystent planowania posiłków działa na modelu językowym Claude dostarczanym przezAnthropic, PBC z siedzibą w Stanach Zjednoczonych, który przetwarza dane na zlecenie Administratora (podmiot przetwarzający). Asystent to program, nie człowiek; jego odpowiedzi mogą zawierać błędy i nie są poradą lekarską ani dietetyczną.

Co jest wysyłane do Anthropic przy każdej wiadomości:

treść Twojej wiadomości i dotychczasowej rozmowy,
Twoje imię, dieta, alergeny, cel, wyliczone zapotrzebowanie kaloryczne i makro,
te same dane pozostałych domowników —wyłącznie tych, którzy sami wyrazili zgodę na asystenta; ograniczenia pozostałych (alergeny) egzekwuje serwer przy zapisie planu bez przekazywania ich danych,
nazwa gospodarstwa, aktualny plan tygodnia i notatki pamięci,
wspólny katalog przepisów.

Nie jest wysyłane: wzrost, waga, płeć, rok urodzenia, kroki ze Zdrowia, adres e-mail, poświadczenia Cookidoo.

Podstawa: odrębna, wyraźna zgoda każdej osoby, której dane są przekazywane (art. 9 ust. 2 lit. a RODO), wyrażana przed pierwszą wiadomością i możliwa do cofnięcia w menu asystenta. Po cofnięciu asystent przestaje dla tej osoby działać, a jej dane nie są już wysyłane; zapisane rozmowy pozostają do czasu usunięcia przez użytkownika lub upływu okresu z sekcji 10.

Przekazanie poza EOG: Anthropic przetwarza dane w Stanach Zjednoczonych. Przekazanie odbywa się na podstawie umowy powierzenia zawierającej standardowe klauzule umowne przyjęte przez Komisję Europejską (art. 46 ust. 2 lit. c RODO). Zgodnie z warunkami usługi API Anthropic nie wykorzystuje przekazywanych danych do trenowania swoich modeli.

Limity i rozliczenia: liczba wiadomości i zapisanych planów jest liczona na gospodarstwo w okresie rozliczeniowym subskrypcji; koszt każdej odpowiedzi jest zapisywany do rozliczeń i pozostaje po usunięciu rozmowy (bez jej treści).

7. Dane ze Zdrowia (Apple Health)

Jeśli włączysz integrację, Aplikacja odczytuje z Apple Health wyłącznie dzienną liczbę kroków i przesyła sumy z ostatnich 14 dni na serwer, aby pokazać je w kalendarzu obok posiłków. Aplikacja nie zapisuje niczego do Apple Health.

Dane ze Zdrowia nie są używane do reklamy ani marketingu, nie są sprzedawane ani udostępniane osobom trzecim, nie są przekazywane do asystenta AI i nie są przechowywane w iCloud Administratora. Integrację wyłączysz w Ustawieniach Aplikacji lub w Ustawieniach iOS → Prywatność i bezpieczeństwo → Zdrowie; wyłączenie w Aplikacji usuwa kopię kroków z serwera, a kroki są też usuwane razem z kontem.

8. Integracja z Cookidoo (opcjonalna)

Funkcja „Gotuj w Thermomixie” pozwala wysłać wybrany przepis do kalendarza „Mój tydzień” w Cookidoo. Wymaga podania adresu e-mail i hasła do konta Cookidoo, które są przechowywane na serwerze Administratora w postaci zaszyfrowanej (AES-256-GCM) i używane wyłącznie do logowania do Cookidoo w imieniu użytkownika. Hasło nigdy nie jest pokazywane ani przekazywane innym domownikom; pozostali domownicy mogą korzystać z połączonego konta i widzą jego adres e-mail.

Integracja korzysta z nieoficjalnego interfejsu Cookidoo i może przestać działać bez uprzedzenia. Cookidoo i Thermomix są znakami towarowymi Vorwerk; Administrator nie jest powiązany z Vorwerk. Połączenie można rozłączyć w Ustawieniach — poświadczenia są wtedy natychmiast usuwane; są też usuwane, gdy osoba, która je podała, opuści gospodarstwo lub usunie konto. Administrator może czasowo wyłączyć integrację.

9. Odbiorcy danych

Railway Corp. — hosting serwera i bazy danych oraz wykonanie nocnej kopii zapasowej bazy (infrastruktura Aplikacji),
Cloudflare, Inc. — przechowywanie i serwowanie zdjęć przepisów z katalogu oraz przechowywanie zaszyfrowanych kopii zapasowych bazy danych (kopie zawierają dane osobowe; przechowywane 30 dni),
Resend, Inc. — wysyłka wiadomości e-mail o koncie: adres e-mail, imię wyświetlane i treść wiadomości; serwery w Irlandii (Unia Europejska),
Functional Software, Inc. (Sentry) — diagnostyka aplikacji i serwera: awarie i błędy, czasy działania, ostrzeżenia z logów serwera; identyfikator żądania, kod i ścieżka błędu, wersja, identyfikator użytkownika; bez treści wiadomości, danych profilu, zrzutów ekranu i adresu IP; serwery w Unii Europejskiej,
Apple Inc. — Sign in with Apple, powiadomienia push, App Store,
Anthropic, PBC — model językowy asystenta AI, w zakresie z sekcji 6, wyłącznie dla osób, które wyraziły zgodę,
Vorwerk (Cookidoo) — wyłącznie jeśli użytkownik połączy konto Cookidoo, w zakresie z sekcji 8,
członkowie gospodarstwa domowego użytkownika, w zakresie z sekcji 5,
osoby, którym użytkownik przekazał link do przepisu, i komunikatory, którymi go wysłał (karta z tytułem i zdjęciem) — w zakresie z sekcji 5,
podmioty uprawnione na podstawie przepisów prawa.

10. Okresy przechowywania

dane konta, profilu i gospodarstwa — przez czas korzystania z Aplikacji,
rozmowy z asystentem (wraz z propozycjami) — 90 dni od ostatniej wiadomości, potem usuwane automatycznie; wcześniej użytkownik może usunąć każdą rozmowę lub wszystkie naraz,
notatki pamięci gospodarstwa — do usunięcia przez domownika w Ustawieniach lub do usunięcia gospodarstwa (najwyżej 30 notatek),
dane o użyciu asystenta (liczba wiadomości, tokeny, koszt) — 12 miesięcy, bez treści rozmów,
zgłoszenia odpowiedzi asystenta — 12 miesięcy,
kroki ze Zdrowia — przez czas korzystania z integracji, usuwane przy jej wyłączeniu i z kontem,
poświadczenia Cookidoo — do rozłączenia lub usunięcia konta,
historia list zakupów — przez czas korzystania z Aplikacji,
linki do udostępnionych przepisów — do wyłączenia linku lub usunięcia przepisu; informacja, kto utworzył link, znika z usunięciem konta; liczby udostępnień i otwarć (bez osób) — przez czas istnienia przepisu,
dziennik zgód — przez czas korzystania z Aplikacji, usuwany z kontem,
kopie zapasowe bazy — 30 dni, potem nadpisywane,
wiadomości e-mail — adres, temat i treść przez 30 dni od wysyłki, potem zostaje sam ślad nadania bez tych danych, usuwany po roku; adres z listy odrzuceń — do usunięcia na prośbę użytkownika,
logi techniczne — nie dłużej niż 90 dni,
ślad tożsamości zakupowej (pseudonim wyliczony z identyfikatora logowania, bez możliwości odtworzenia go z powrotem) wraz z licznikami wykorzystania i datą rozpoczęcia bezpłatnej puli oraz zapisem opłaconej subskrypcji — bezterminowo, także po usunięciu konta. To jedyny ślad, który zostaje. Bez niego bezpłatna pula zaczynałaby się od nowa przy każdym nowym koncie, a opłacona subskrypcja nie wróciłaby po ponownym zalogowaniu tym samym Apple ID. Podstawa: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) — zapobieganie nadużyciu bezpłatnej puli i odtworzenie opłaconego świadczenia.
po usunięciu konta dane są usuwane niezwłocznie, nie później niż w ciągu 30 dni (w tym z kopii zapasowych po ich rotacji), z zastrzeżeniem obowiązków prawnych, ochrony roszczeń i opisanego wyżej śladu tożsamości zakupowej. Własne przepisy dodane do wspólnego gospodarstwa pozostają w nim (bez powiązania z usuniętym kontem), bo korzystają z nich pozostali domownicy.

11. Prawa użytkownika

Użytkownik ma prawo do:

dostępu do danych i otrzymania ich kopii (Ustawienia → Informacje → Prywatność i regulamin → „Pobierz moje dane”),
sprostowania danych,
usunięcia danych,
ograniczenia przetwarzania,
przenoszenia danych,
sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie,
cofnięcia każdej zgody w dowolnym momencie,
wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Żądania prosimy kierować na support@scoffie.app z adresu e-mail przypisanego do konta. Odpowiadamy w ciągu 30 dni.

12. Usunięcie konta

Konto można usunąć bezpośrednio w Aplikacji: Ustawienia → profil użytkownika → „Usuń konto”. Operacja usuwa konto wraz z profilem, preferencjami, rozmowami z asystentem, krokami, poświadczeniami Cookidoo, tokenami i dziennikiem zgód; unieważniane są także tokeny Sign in with Apple. Żądanie usunięcia można też przesłać e-mailem z adresu przypisanego do konta.

13. Personalizacja i zautomatyzowane decyzje

Aplikacja i asystent dopasowują propozycje posiłków do podanych preferencji, celów i ograniczeń (profilowanie w rozumieniu art. 4 pkt 4 RODO). Propozycje nie wywołują wobec użytkownika skutków prawnych ani nie wpływają na niego w podobnie istotny sposób — art. 22 RODO nie ma zastosowania. Każdą propozycję użytkownik zatwierdza lub odrzuca sam.

14. Bezpieczeństwo

Administrator stosuje odpowiednie środki techniczne i organizacyjne: szyfrowanie transmisji (HTTPS/TLS), szyfrowanie poświadczeń Cookidoo w bazie, bezpieczne przechowywanie tokenów sesji na urządzeniu, uwierzytelnianie każdego żądania i połączenia, limity żądań oraz ograniczenie danych przekazywanych do asystenta do niezbędnego minimum.

15. Zmiany polityki

Polityka może być aktualizowana w związku ze zmianami prawa lub funkcji Aplikacji. Istotne zmiany (nowy odbiorca danych, nowy cel) wymagają ponownego potwierdzenia w Aplikacji; o pozostałych informujemy w Aplikacji z wyprzedzeniem. Aktualna wersja jest publikowana na tej stronie.

W razie pytań napisz na support@scoffie.app ·Warunki korzystania · Strona wsparcia

Polityka prywatności Scoffie

Meta