POLITYKA PRYWATNOŚCI APLIKACJI NALEWAK

Data wejścia w życie: 24 kwietnia 2026 r. Wersja: 1.0 (wymaga weryfikacji prawnej przed wdrożeniem)

§1. Kim jesteśmy. Administrator danych

Administratorem Twoich danych osobowych jest:

DataMiners spółka z ograniczoną odpowiedzialnością z siedzibą w Szczecinie, ul. Cyfrowa 6, 71-441 Szczecin wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy Szczecin-Centrum w Szczecinie, XIII Wydział Gospodarczy KRS, pod numerem KRS: 0000924857 NIP: 8513264748 · REGON: 520069220 kapitał zakładowy: 5 000 zł reprezentowana przez: Wojciecha Adama Żeglina — Prezesa Zarządu dalej: „Administrator" lub „my"

Kontakt w sprawach ochrony danych:

• E-mail: rodo@nalewak.pl
• Korespondencyjnie: na adres siedziby Administratora
• Inspektor Ochrony Danych: nie został wyznaczony (Administrator nie podlega obowiązkowi z art. 37 RODO)

Niniejsza polityka opisuje, jakie dane osobowe Użytkowników aplikacji Nalewak (dalej: „Aplikacja") przetwarzamy, w jakich celach, na jakiej podstawie prawnej, jak długo, komu je powierzamy oraz jakie prawa Ci przysługują.

Polityka uzupełnia Regulamin Aplikacji i należy je czytać łącznie.

§2. Słowniczek

W Polityce używamy następujących pojęć:

• Aplikacja — aplikacja mobilna „Nalewak" oraz powiązane usługi internetowe Administratora dostępne pod adresem nalewak.pl.
• Użytkownik — osoba fizyczna korzystająca z Aplikacji.
• Konto — indywidualne konto Użytkownika utworzone w wyniku rejestracji.
• Dane osobowe — wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.
• Treści Użytkownika — fotografie, zgłoszenia, awatar, nazwa użytkownika.
• Procesor / Podmiot przetwarzający — podmiot przetwarzający dane na zlecenie Administratora.
• RODO — Rozporządzenie (UE) 2016/679 (Ogólne Rozporządzenie o Ochronie Danych).
• EOG — Europejski Obszar Gospodarczy.
• PUODO — Prezes Urzędu Ochrony Danych Osobowych.

§3. Jakie dane przetwarzamy. Cele i podstawy prawne

Przetwarzamy wyłącznie dane niezbędne do realizacji wskazanych celów. Poniższa tabela zawiera kompletny wykaz.

A. Dane Konta

B. Dane techniczne (logi)

C. Dane lokalizacji

Lokalizacja NIE jest przetwarzana w tle — wyłącznie podczas aktywnego korzystania z funkcji wymagających lokalizacji. Możesz w każdej chwili cofnąć zgodę systemową na lokalizację w ustawieniach systemu Android — apka będzie wówczas działać z ograniczoną funkcjonalnością.

D. Treści Użytkownika

E. Dane do dochodzenia roszczeń (B2B)

F. Dane finansowe (przyszłe — Funkcje Premium)

G. Dane kontaktowe ze zgłoszeń, reklamacji

§4. Cele dodatkowe — zgoda

Niezależnie od przetwarzania niezbędnego do umowy, na podstawie dobrowolnej zgody (art. 6 ust. 1 lit. a RODO) możesz wyrazić zgodę na:

Brak zgody marketingowej nie ogranicza dostępu do bezpłatnych funkcji Aplikacji. Reklamy in-app w bezpłatnej wersji są elementem modelu biznesowego, nie marketingiem (zob. §11 Regulaminu).

Zgodę można cofnąć w każdej chwili — cofnięcie nie wpływa na zgodność z prawem przetwarzania, którego dokonaliśmy przed cofnięciem.

§5. Komu udostępniamy dane (Procesorzy)

Dane mogą być powierzone niżej wskazanym podmiotom przetwarzającym (art. 28 RODO) lub udostępnione odbiorcom — wyłącznie w zakresie i celu wskazanym poniżej:

A. Procesorzy techniczni

B. Inne kategorie odbiorców

• Organy ścigania, sądy, komornicy — gdy obowiązek wynika z przepisów prawa lub legitymizowanego żądania (DSA art. 9, KPK art. 218, KPC art. 248);
• Doradcy prawni, kancelarie — w celu obsługi prawnej Administratora (na podstawie tajemnicy zawodowej);
• Audytorzy, biegli rewidenci — w celu wykonywania ich zadań (art. 6 ust. 1 lit. f RODO);
• Następcy prawni Administratora — w razie restrukturyzacji, fuzji, sprzedaży przedsiębiorstwa — wyłącznie z zachowaniem ciągłości celu przetwarzania;
• Komercyjni licencjobiorcy (na podstawie odrębnej umowy licencyjnej) — w zakresie zagregowanych i zanonimizowanych danych statystycznych.

C. Czego NIE robimy

• Nie sprzedajemy Twoich danych osobowych podmiotom trzecim.
• Nie udostępniamy Twoich danych osobowych w celach marketingu cross-app trackingu, retargetingu, RTB.
• Nie przekazujemy danych brokerom danych (data brokers) ani sieciom reklamowym typu DMP / SSP / DSP.

§6. Transfer poza EOG

Część Procesorów (OpenRouter, Google) ma siedzibę w USA. Transfer odbywa się na podstawie:

• Standardowych Klauzul Umownych (SCC) zatwierdzonych decyzją Komisji Europejskiej z 4 czerwca 2021 r. (decyzja 2021/914/UE);
• EU-U.S. Data Privacy Framework (decyzja Komisji Europejskiej z 10 lipca 2023 r.) — w zakresie podmiotów certyfikowanych;
• z dodatkowymi środkami zabezpieczającymi (szyfrowanie TLS, minimalizacja danych przekazywanych do OCR — wyłącznie obraz tablicy cenowej).

Możesz uzyskać kopię SCC oraz informacje o stosowanych środkach zabezpieczających, kierując żądanie na rodo@nalewak.pl.

§7. Jak długo przechowujemy dane (okresy retencji)

Po upływie okresu retencji dane są nieodwracalnie usuwane lub zanonimizowane (jeżeli mogą służyć celom statystycznym).

§8. Twoje prawa

W związku z przetwarzaniem Twoich danych osobowych masz następujące prawa:

A. Prawo do informacji (art. 13-14 RODO)

Niniejsza Polityka spełnia ten obowiązek. Możesz w każdej chwili żądać dodatkowych informacji.

B. Prawo dostępu do danych (art. 15 RODO)

Masz prawo uzyskać:

• potwierdzenie, czy przetwarzamy Twoje dane;
• kopię danych;
• informacje o celach, kategoriach danych, odbiorcach, okresach retencji.

C. Prawo do sprostowania (art. 16 RODO)

Możesz żądać sprostowania nieprawidłowych lub niekompletnych danych — większość pól możesz edytować samodzielnie w Profilu Aplikacji.

D. Prawo do usunięcia („prawo do bycia zapomnianym", art. 17 RODO)

Możesz żądać usunięcia danych, w szczególności gdy:

• dane nie są już niezbędne do celów, w których zostały zebrane;
• cofnąłeś zgodę i nie istnieje inna podstawa przetwarzania;
• wniosłeś skuteczny sprzeciw.

Sposób usunięcia:

• Samodzielnie w Profilu Aplikacji (przycisk „Usuń konto");
• E-mailem na rodo@nalewak.pl.

Wyjątki od prawa do usunięcia (RODO art. 17 ust. 3):

• gdy dalsze przetwarzanie jest niezbędne do wywiązania się z obowiązku prawnego;
• do ustalenia, dochodzenia lub obrony roszczeń (np. jeśli toczy się sprawa o karę z §8b Regulaminu);
• do celów archiwalnych w interesie publicznym, badań naukowych lub statystycznych — w zakresie zagregowanych danych historycznych cen.

E. Prawo do ograniczenia przetwarzania (art. 18 RODO)

Możesz żądać czasowego wstrzymania przetwarzania — np. w trakcie weryfikacji prawidłowości danych lub jeśli zgłosiłeś sprzeciw.

F. Prawo do przenoszenia danych (art. 20 RODO)

Możesz żądać otrzymania swoich danych w ustrukturyzowanym formacie (JSON), umożliwiającym przeniesienie ich do innego administratora. Realizujemy w terminie 30 dni od zgłoszenia na rodo@nalewak.pl.

G. Prawo do sprzeciwu (art. 21 RODO)

Masz prawo wnieść sprzeciw wobec przetwarzania na podstawie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO), w tym profilowania. Wobec przetwarzania w celach marketingu bezpośredniego sprzeciw jest bezwarunkowy — musimy zaprzestać przetwarzania.

H. Prawo do cofnięcia zgody (art. 7 ust. 3 RODO)

Wszystkie zgody możesz cofnąć w każdej chwili — instrukcje w §4. Cofnięcie nie wpływa na zgodność z prawem przetwarzania, którego dokonaliśmy przed cofnięciem.

I. Prawo do niepodlegania automatycznym decyzjom (art. 22 RODO)

Aplikacja stosuje automatyczne podejmowanie decyzji w odniesieniu do:

• Moderacji Treści (akceptacja / odrzucenie zdjęcia na podstawie OCR);
• Wykrywania nadużyć (auto-blokada Konta przy ataku DDoS lub anomaliach);
• Walidacji konsensusu cenowego.

W odniesieniu do tych decyzji masz prawo żądać interwencji ludzkiej — zgłoszenie kierowane na kontakt@nalewak.pl, rozpatrywane w terminie 14 dni.

J. Prawo do skargi do organu nadzorczego (art. 77 RODO)

Możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych:

Urząd Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa tel. 22 531 03 00 www.uodo.gov.pl

K. Sposób realizacji praw

Wnioski w sprawie realizacji praw kieruj na rodo@nalewak.pl. Realizujemy je w terminie 30 dni (z możliwością przedłużenia o 60 dni w przypadkach złożonych — z uzasadnieniem). Dla weryfikacji tożsamości możemy poprosić o dodatkowe informacje pozwalające na identyfikację (np. e-mail przypisany do Konta). Realizacja praw jest bezpłatna — z wyjątkiem żądań ewidentnie nieuzasadnionych lub nadmiernych (art. 12 ust. 5 RODO).

§9. Bezpieczeństwo danych

Stosujemy następujące środki techniczne i organizacyjne (art. 32 RODO):

Techniczne:

• Szyfrowanie transmisji TLS 1.2+ (HTTPS dla całej komunikacji z serwerem);
• Szyfrowanie tokenów uwierzytelniających (JWT podpisany sekretnym kluczem) i przechowywanie w SecureStore systemu Android;
• Klucz prywatny urządzenia generowany w Android Keystore (Trusted Execution Environment / StrongBox) — nigdy nie opuszcza sprzętowego enklawy;
• Hasła administracyjne chronione poprzez szyfrowanie + 2FA;
• Backup danych z szyfrowaniem at-rest;
• Anti-DDoS, rate limiting per-IP i per-konto;
• Wykrywanie anomalii (nadużyć, scrapingu) — automatyczne blokady;
• Logi audytowe wszystkich operacji administracyjnych.

Organizacyjne:

• Polityka kontroli dostępu (zasada minimalnych uprawnień);
• Umowy poufności z osobami i podmiotami przetwarzającymi dane;
• Regularne audyty bezpieczeństwa;
• Procedura zgłaszania incydentów RODO (art. 33-34 RODO) — w przypadku naruszenia ochrony danych poinformujemy PUODO w 72h oraz Użytkowników, jeżeli naruszenie powoduje wysokie ryzyko;
• Aktualizacja oprogramowania i zależności w odpowiedzi na luki bezpieczeństwa.

Co Ty możesz zrobić:

• Nie udostępniaj nikomu kodów SMS / linków logowania;
• Włącz blokadę ekranu telefonu;
• Stosuj aktualne oprogramowanie zabezpieczające;
• W razie podejrzenia kradzieży konta — natychmiast skontaktuj się z kontakt@nalewak.pl.

§10. Identyfikatory urządzenia. Technologie podobne do cookies

Aplikacja nie wykorzystuje plików cookies w klasycznym sensie (nie jest aplikacją webową).

Stosujemy natomiast następujące technologie tożsame w kontekście systemu Android:

Mapy w Aplikacji są wyświetlane w WebView z silnikiem Chromium — kafle map (OpenStreetMap, OpenFreeMap) ładowane z naszego serwera proxy, nie ustawiają cookies trzecioosobowych.

§11. AI i automatyczne przetwarzanie

Aplikacja wykorzystuje systemy sztucznej inteligencji (AI) do:

• OCR fotografii tablic cenowych (modele Gemma, Nemotron przez OpenRouter);
• Klasyfikacji i moderacji Treści (filtr treści zakazanych);
• Walidacji konsensusu cenowego (algorytm zgodności ≥2/3 niezależnych odczytów);
• Wykrywania nadużyć (anomalie ruchu, scraping);
• Generowania zagregowanych podsumowań (rankingów stacji, statystyk regionalnych).

Co to oznacza dla Ciebie:

• Treść Twoich zdjęć może być przetwarzana przez modele AI dostawców trzecich (OpenRouter, USA) — wyłącznie obraz, bez Twoich danych identyfikacyjnych;
• Wyniki AI nie są w 100% dokładne — Operator nie gwarantuje, że ceny prezentowane w Aplikacji są bezbłędne;
• Twoje dane mogą być wykorzystywane do trenowania własnych modeli AI Operatora — możesz wnieść sprzeciw wobec takiego wykorzystania na rodo@nalewak.pl;
• W odniesieniu do decyzji w pełni automatycznych (np. odrzucenie uploadu) masz prawo do interwencji ludzkiej (art. 22 ust. 3 RODO).

§12. Reklamy w Aplikacji a dane

Reklamy in-app w bezpłatnej wersji Aplikacji są integralnym elementem usługi. Wyświetlamy:

• reklamy własne i partnerskie — kierowane na podstawie kontekstu (lokalizacja stacji, region, status konta);
• bez profilowania w rozumieniu RODO (art. 4 pkt 4) — kontekst nie jest profilem;
• bez cross-app trackingu, retargetingu, RTB;
• bez przekazywania danych do giełd reklamowych (DMP / SSP / DSP).

Wyświetlanie reklam in-app nie wymaga odrębnej zgody marketingowej i jest niezależne od preferencji marketingowych ustawionych w Profilu (zob. §11 Regulaminu).

§13. Dzieci

Aplikacja jest przeznaczona wyłącznie dla osób, które ukończyły 16 lat (art. 8 RODO + ustawa o ochronie danych osobowych z 10.05.2018, art. 16). Nie przetwarzamy świadomie danych osób poniżej 16. roku życia.

Jeśli dowiesz się, że osoba poniżej 16 lat przekazała nam dane osobowe, zgłoś to na rodo@nalewak.pl — niezwłocznie usuniemy takie dane.

§14. Zmiany Polityki Prywatności

Możemy zmienić niniejszą Politykę Prywatności z ważnych przyczyn, w szczególności:

• zmiany przepisów prawa (RODO, AI Act, DSA);
• zmiany w sposobie świadczenia usług;
• wprowadzenia nowych funkcji wymagających przetwarzania nowych kategorii danych;
• zmiany struktury Procesorów;
• decyzji organów państwowych.

O zmianach poinformujemy:

• powiadomieniem w Aplikacji (push lub komunikat ekranowy przy uruchomieniu);
• wiadomością e-mail na adres przypisany do Konta;
• co najmniej 14 dni przed wejściem zmian w życie.

Aktualna wersja Polityki jest dostępna pod adresem https://nalewak.pl/polityka-prywatnosci wraz z datą wejścia w życie.

Poprzednie wersje są archiwizowane i udostępniane na żądanie pod adresem rodo@nalewak.pl.

§15. Pytania i kontakt

W każdej sprawie dotyczącej Twoich danych osobowych:

• E-mail: rodo@nalewak.pl (preferowane)
• Korespondencyjnie: DataMiners sp. z o.o., ul. Cyfrowa 6, 71-441 Szczecin
• Skarga do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl

§16. Postanowienia końcowe

1. W sprawach nieuregulowanych w niniejszej Polityce mają zastosowanie przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, ustawy o świadczeniu usług drogą elektroniczną oraz inne właściwe przepisy prawa polskiego i unijnego.
2. Politykę interpretuje się zgodnie z Regulaminem Aplikacji (https://nalewak.pl/regulamin).
3. W razie sprzeczności z postanowieniami Regulaminu, w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza Polityka.
4. Politykę sporządzono w języku polskim — w przypadku tłumaczeń wersja polska jest wiążąca.