Polityka prywatności

Obowiązuje od: 27 czerwca 2026 r.

1. Administrator danych

Administratorem danych osobowych jest Paweł Kobylak, prowadzący działalność pod adresem ul. Olkuska 11/1, 81-501 Gdynia, NIP: 5862419062 (dalej: „Administrator").

Kontakt w sprawach ochrony danych: [email protected].

Inspektor Ochrony Danych nie został wyznaczony — Administrator nie należy do podmiotów, dla których RODO nakłada taki obowiązek.

2. Zakres dokumentu

Niniejsza polityka dotyczy serwisu libaroo.app (strona promocyjna i formularz zapisu do newslettera). Obejmuje ona również kluczowe aspekty bezpieczeństwa danych, zasady przetwarzania danych osobowych w Aplikacji oraz procedurę usunięcia konta wymagane przez sklepy z aplikacjami (App Store, Google Play). Aplikacja mobilna i webowa Libaroo posiada odrębną politykę prywatności udostępnianą w aplikacji, która powyższe postanowienia uzupełnia o szczegóły właściwe dla Aplikacji.

3. Cele, podstawy prawne i okres przechowywania

Dane konta w Aplikacji Libaroo: szczegóły i okresy przechowywania opisano w §13 poniżej (natychmiastowa dezaktywacja → trwałe usunięcie po 30 dniach od żądania).

Uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO) polega na: (i) udowodnieniu prawidłowości procesu zbierania zgód na potrzeby ewentualnych postępowań (rozliczalność); (ii) ochronie serwisu przed atakami, spamem i nadużyciami; (iii) ustaleniu, dochodzeniu i obronie roszczeń cywilnoprawnych.

4. Zakres przetwarzanych danych

• Newsletter: adres e-mail, język, adres IP, identyfikator przeglądarki (User-Agent), znacznik czasu zapisu i potwierdzenia, token potwierdzający (double opt-in).
• Analytics / cookies: identyfikator urządzenia, zanonimizowany adres IP, dane o przeglądarce i odwiedzanych podstronach — wyłącznie po wyrażeniu zgody.

5. Dobrowolność podania danych

Podanie danych jest dobrowolne, ale niezbędne do wykonania danej usługi (np. zapis na newsletter wymaga adresu e-mail i zgody na przetwarzanie).

6. Odbiorcy danych

Dane mogą być udostępniane następującym podmiotom przetwarzającym, działającym na zlecenie Administratora:

• Amazon Web Services EMEA SARL (Luksemburg) — hosting bazy newslettera oraz wysyłka wiadomości przez Amazon SES (region eu-central-1, Frankfurt);
• Google Ireland Ltd. (Irlandia) — usługa Google Analytics 4 oraz Google Fonts;
• dostawca infrastruktury serwerowej, na której hostowany jest serwis;
• uprawnione organy państwowe — gdy obowiązek wynika z przepisów prawa.

7. Przekazywanie danych poza EOG

W ramach korzystania z usług Google możliwy jest transfer danych do USA. Transfer odbywa się na podstawie decyzji Komisji Europejskiej w sprawie ram ochrony danych UE-USA (EU-U.S. Data Privacy Framework) oraz standardowych klauzul umownych (SCC).

Dane przetwarzane przez Amazon Web Services w regionie eu-central-1 (Frankfurt) są co do zasady przechowywane w EOG. W zakresie, w jakim transfer poza EOG jest możliwy (np. globalna obsługa konta AWS), odbywa się on na podstawie EU-U.S. Data Privacy Framework (Amazon Web Services, Inc. posiada certyfikację DPF) oraz standardowych klauzul umownych (SCC).

8. Pliki cookies i Google Consent Mode v2

Serwis używa plików cookies. Domyślnie wszystkie cookies analityczne i marketingowe są zablokowane (Google Consent Mode v2 — ustawienie „denied"). Cookies analityczne aktywują się dopiero po wyrażeniu zgody w banerze cookies. Cookies niezbędne do działania serwisu (np. zapamiętanie wyboru zgody) działają zawsze na podstawie art. 6 ust. 1 lit. f RODO.

Zgodę na cookies można w każdej chwili zmienić, czyszcząc dane przeglądarki dla domeny libaroo.app.

9. Prawa użytkownika

Przysługuje Państwu prawo do:

• dostępu do danych (art. 15 RODO);
• sprostowania danych (art. 16);
• usunięcia danych — „prawo do bycia zapomnianym" (art. 17);
• ograniczenia przetwarzania (art. 18);
• przenoszenia danych (art. 20);
• sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie (art. 21);
• wycofania zgody w dowolnym momencie — bez wpływu na zgodność przetwarzania sprzed wycofania (art. 7 ust. 3);
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

W celu realizacji praw należy wysłać wiadomość na adres [email protected].

10. Rezygnacja z newslettera

Z newslettera można zrezygnować w każdej chwili — link rezygnacyjny znajduje się na końcu każdej wiadomości. Rezygnacja oznacza wycofanie zgody i usunięcie adresu z listy.

11. Zautomatyzowane podejmowanie decyzji

Administrator nie podejmuje wobec Państwa decyzji w sposób w pełni zautomatyzowany ani nie stosuje profilowania wywołującego skutki prawne.

12. Zmiany polityki

Polityka może być aktualizowana. Aktualna wersja zawsze dostępna jest pod adresem libaroo.app/privacy. O istotnych zmianach informujemy mailowo subskrybentów newslettera.

13. Bezpieczeństwo danych i zgodność z Google Play

Grupa docelowa aplikacji

Aplikacja mobilna i webowa Libaroo jest przeznaczona wyłącznie dla użytkowników dorosłych. Nie jest objęta programem Google Play „Designed for Families” ani żadnym analogicznym programem skierowanym do dzieci. Administrator nie przetwarza świadomie danych osobowych osób poniżej 16. roku życia (próg wynikający z art. 8 RODO; w USA: 13 lat zgodnie z COPPA). Jeśli osoba niepełnoletnia bez zgody rodzica lub opiekuna prawnego zarejestrowała konto, powiadomienie na adres [email protected] spowoduje niezwłoczne usunięcie jej danych.

Zabezpieczenia techniczne

• Transmisja danych: komunikacja między aplikacją mobilną a serwerem API odbywa się wyłącznie przez protokół HTTPS (TLS 1.2/1.3). Dane nie są przesyłane niezaszyfrowanym kanałem.
• Przechowywanie danych na urządzeniu: tokeny uwierzytelniające przechowywane są w bezpiecznym magazynie systemu operacyjnego — Keychain na iOS i EncryptedSharedPreferences (Android Keystore) na Androidzie, za pomocą pakietu flutter_secure_storage.
• Serwer i baza danych: dane użytkowników przechowywane są na serwerze w Niemczech (EOG) w bazie PostgreSQL na infrastrukturze chronionej kontrolą dostępu. Wewnętrzna komunikacja między komponentami serwera odbywa się w izolowanej sieci Docker.

SDK i narzędzia zewnętrzne zbierające dane

Aplikacja mobilna i webowa Libaroo korzysta z następujących narzędzi zewnętrznych, które mogą zbierać dane diagnostyczne lub statystyczne:

Dane transferowane do USA (Sentry) odbywają się na podstawie standardowych klauzul umownych (SCC) zgodnie z art. 46 ust. 2 lit. c RODO.

Aplikacja nie wyświetla reklam. Żaden SDK reklamowy (AdMob, Meta Audience Network ani inny) nie jest zainstalowany w aplikacji.

Usunięcie konta i danych

Użytkownik może w każdej chwili usunąć swoje konto i wszystkie powiązane dane bezpośrednio z poziomu Aplikacji (samoobsługowo, bez konieczności kontaktowania się z pomocą techniczną), a alternatywnie — wysyłając wiadomość na adres [email protected]. Przed usunięciem konta dostępna jest możliwość pobrania eksportu danych osobowych (DSAR). Przebieg procesu usunięcia: konto jest dezaktywowane natychmiast po złożeniu wniosku; przez kolejne 30 dni obowiązuje okres karencji. W okresie karencji konto i dane użytkownika pozostają niedostępne — zarówno dla użytkownika, jak i dla innych użytkowników Aplikacji — i nie są przetwarzane w celach pierwotnych; ponowne zalogowanie w tym czasie automatycznie przywraca konto. Ponowne zalogowanie się w okresie karencji jest równoznaczne z wycofaniem przez użytkownika żądania usunięcia konta. Po upływie 30 dni usunięcie danych staje się trwałe i nieodwracalne — konto oraz powiązane dane osobowe są usuwane przez automatyczny proces. Dane przetwarzane na podstawie art. 6 ust. 1 lit. c RODO (rozliczalność) mogą być przechowywane przez okres wynikający z przepisów prawa.

Pseudonimizowany zapis usunięcia konta

Po usunięciu konta Libaroo przechowuje jednokierunkowy kryptograficzny odcisk palca (HMAC-SHA256) Twojego adresu e-mail — nie sam adres e-mail. Zapisu tego nie można odwrócić do postaci adresu e-mail bez dostępu do oddzielnego klucza tajnego przechowywanego wyłącznie w konfiguracji naszego serwera.

Dlaczego to przechowujemy. Przetwarzamy ten pseudonimizowany odcisk na podstawie naszych prawnie uzasadnionych interesów (art. 6 ust. 1 lit. f RODO) w celu: (1) zapobiegania nadużyciom usługi przez użytkowników, którym zamknięto konto; (2) uniknięcia ponownego wysyłania wiadomości powitalnej na adres, który miał już konto; (3) obrony przed roszczeniami prawnymi wynikającymi z wcześniejszej aktywności konta.

Jak długo to przechowujemy. Odcisk podlega obowiązkowemu przeglądowi opartemu na kryteriach co trzy lata. Przy każdym przeglądzie oceniamy, czy pierwotne podstawy przechowywania nadal mają zastosowanie. Jeśli nie — zapis zostaje usunięty. Trzyletni okres liczymy od daty trwałego usunięcia Twojego konta z naszych systemów (zazwyczaj 30 dni po złożeniu wniosku o usunięcie).

Twoje prawa. Możesz w dowolnym momencie wnieść sprzeciw wobec tego przetwarzania, kontaktując się z nami pod adresem [email protected] (art. 21 RODO). Ponownie ocenimy podstawy przechowywania i usuniemy zapis, jeśli żaden nadrzędny prawnie uzasadniony interes nie będzie uzasadniał jego dalszego przechowywania. Masz również prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (UODO, www.uodo.gov.pl). Uwaga: nie możemy usunąć odcisku na żądanie w trybie art. 17 RODO, jeżeli nasz uzasadniony interes przeważa nad Twoim prawem do usunięcia — w takim przypadku poinformujemy Cię na piśmie o naszej ocenie.

Procedura w razie naruszenia ochrony danych

W przypadku naruszenia ochrony danych osobowych mogącego skutkować ryzykiem naruszenia praw lub wolności osób fizycznych Administrator zobowiązuje się do:

• zgłoszenia naruszenia do Prezesa Urzędu Ochrony Danych Osobowych w ciągu 72 godzin od jego wykrycia (art. 33 RODO);
• poinformowania bez zbędnej zwłoki osób, których dane dotyczą, jeżeli naruszenie może powodować wysokie ryzyko dla ich praw lub wolności (art. 34 RODO).