Polityka Prywatności

§ 1. Administrator danych osobowych

Administratorem danych osobowych Użytkowników jest:

§ 2. Cele i podstawy prawne przetwarzania danych

Dane osobowe Użytkowników są przetwarzane w następujących celach:

• Świadczenie usług (Art. 6 ust. 1 lit. b RODO) – zakładanie i utrzymanie Konta Użytkownika, zarządzanie profilem diety, generowanie jadłospisów oraz przechowywanie historii planów.
• Realizacja płatności i subskrypcji (Art. 6 ust. 1 lit. b i c RODO) – przetwarzanie płatności cyklicznych przez PayU S.A. oraz wystawianie dokumentów księgowych.
• Obsługa reklamacji (Art. 6 ust. 1 lit. c RODO) – wypełnienie prawnych obowiązków związanych z rozpatrywaniem reklamacji.
• Prawnie uzasadniony interes (Art. 6 ust. 1 lit. f RODO) – bezpieczeństwo aplikacji (Cloudflare Turnstile), dochodzenie roszczeń oraz prowadzenie statystyk.
• Atrybucja marketingowa (Art. 6 ust. 1 lit. f RODO) – ustalenie, z jakiego źródła (np. reklama Google/Meta, wyszukiwarka, strona odsyłająca) trafił do nas Użytkownik, w celu pomiaru skuteczności kampanii reklamowych i optymalizacji kosztów pozyskania klienta.

§ 3. Kategorie przetwarzanych danych

W zależności od zakresu korzystania z aplikacji, Administrator może przetwarzać:

• Dane identyfikacyjne i kontaktowe: adres e-mail, imię i nazwisko (z formularza PayU lub za zgodą z Google/Facebook/GitHub).
• Dane profilowe i preferencje: cel kaloryczny, styl diety, wykluczenia, alergeny, preferencje kulinarne, zawartość lodówki.
• Dane systemowe: adres IP, typ przeglądarki, tokeny sesji, informacje o uprawnieniach PWA.
• Dane atrybucji rejestracji (pierwsza wizyta): strona docelowa wraz z parametrami zapytania (np. UTM, identyfikatory kliknięć reklamowych), strona odsyłająca (referrer), typ przeglądarki i urządzenia (user-agent) oraz przybliżona lokalizacja (kraj/miasto wyznaczone na podstawie adresu IP, bez zapisywania samego adresu IP) – zapisywane jednorazowo przy pierwszym wejściu na stronę i powiązane z kontem w momencie rejestracji, widoczne wyłącznie w panelu administracyjnym w celach analitycznych.

§ 4. Odbiorcy danych i przekazywanie danych

1. Dane osobowe Użytkowników mogą być przekazywane zaufanym procesorom w celu zapewnienia prawidłowego działania aplikacji:

• Supabase Inc. – operator bazy danych PostgreSQL i modułu autentykacji (zgodność z RODO, szyfrowanie danych).
• PayU S.A. – operator płatności online, autoryzacja transakcji i zarządzanie subskrypcjami.
• Vercel Inc. – dostawca hostingu aplikacji Swaplate.
• Cloudflare Inc. – operator systemu Turnstile CAPTCHA chroniącego formularze.

2. Integracja z AI (Google Gemini API): Zapytania do API zawierają wyłącznie informacje techniczne i dietetyczne (np. „dieta keto, bez glutenu, 2000 kcal"). Do Google nie są przekazywane żadne dane osobowe umożliwiające identyfikację użytkownika.

§ 5. Prawa użytkowników (w tym wymogi Meta/Facebook)

1. Każdemu Użytkownikowi przysługują następujące prawa wynikające z RODO:

• Prawo dostępu do swoich danych oraz otrzymania ich kopii.
• Prawo do sprostowania (poprawiania) swoich danych.
• Prawo do usunięcia danych („prawo do bycia zapomnianym").
• Prawo do ograniczenia przetwarzania danych.
• Prawo do przenoszenia danych.
• Prawo do wniesienia sprzeciwu wobec przetwarzania.
• Prawo do wniesienia skargi do UODO (Prezes Urzędu Ochrony Danych Osobowych).

2. Procedura usuwania danych (Meta/Facebook Data Deletion): Użytkownicy zarejestrowani przez Facebook OAuth mogą usunąć swoje dane w dowolnym momencie. Instrukcja i formularz automatycznego usuwania dostępne są pod adresem swaplate.pl/data-deletion. Usunięcie profilu skutkuje bezpowrotnym skasowaniem historii jadłospisów i preferencji.

§ 6. Okres przechowywania danych

1. Dane powiązane z Kontem Użytkownika przetwarzane są przez cały okres aktywności konta – do momentu zgłoszenia żądania jego usunięcia.
2. Dane transakcyjne i księgowe (płatności PayU) przechowywane są przez 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku.

§ 7. Pliki Cookies i Local Storage

1. Serwis swaplate.pl wykorzystuje pliki Cookies oraz technologię LocalStorage w celu zapewnienia prawidłowego działania interfejsu.
2. Plik cookie swaplate_attr (niezbędny, ważny 90 dni) zapisuje jednorazowo, przy pierwszej wizycie, dane atrybucji marketingowej opisane w § 3 (strona docelowa, referrer, UTM, user-agent, przybliżona lokalizacja) – wykorzystywane wyłącznie do powiązania rejestracji ze źródłem ruchu.
3. W pamięci LocalStorage zapisywane są informacje niebędące danymi osobowymi:
   • Preferencja motywu (tryb jasny / ciemny) – zapobiega migotaniu ekranu przy ładowaniu.
   • Stan listy zakupów (/lista-zakupow) – zachowuje postęp zakupów po zamknięciu przeglądarki.
4. Użytkownik może zablokować lub usunąć pliki cookies i wyczyścić LocalStorage w ustawieniach przeglądarki, co może wpłynąć na niektóre funkcje PWA.

§ 8. Bezpieczeństwo danych

1. Administrator stosuje zaawansowane środki techniczne i organizacyjne ochrony danych osobowych.
2. Połączenie z Serwisem jest w pełni szyfrowane certyfikatem SSL (HTTPS).
3. Autoryzacja opiera się na systemie Supabase z protokołem PKCE (Proof Key for Code Exchange), zabezpieczającym tokeny logowania przed przechwyceniem.

§ 9. Kontakt

Wszelkie pytania, wnioski i żądania dotyczące ochrony danych osobowych należy kierować na dane@swaplate.pl lub pisemnie na adres do doręczeń korespondencji Administratora.