POLITYKA PRYWATNOŚCI APLIKACJI NALEWAK

Data wejścia w życie: 24 kwietnia 2026 r. Wersja: 1.0 (wymaga weryfikacji prawnej przed wdrożeniem)

§1. Kim jesteśmy. Administrator danych

Administratorem Twoich danych osobowych jest:

DataMiners spółka z ograniczoną odpowiedzialnością z siedzibą w Szczecinie, ul. Cyfrowa 6, 71-441 Szczecin wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy Szczecin-Centrum w Szczecinie, XIII Wydział Gospodarczy KRS, pod numerem KRS: 0000924857 NIP: 8513264748 · REGON: 520069220 kapitał zakładowy: 5 000 zł reprezentowana przez: Wojciecha Adama Żeglina — Prezesa Zarządu dalej: „Administrator" lub „my"

Kontakt w sprawach ochrony danych:

• E-mail: rodo@nalewak.pl
• Korespondencyjnie: na adres siedziby Administratora
• Inspektor Ochrony Danych: nie został wyznaczony (Administrator nie podlega obowiązkowi z art. 37 RODO)

Niniejsza polityka opisuje, jakie dane osobowe Użytkowników aplikacji Nalewak (dalej: „Aplikacja") przetwarzamy, w jakich celach, na jakiej podstawie prawnej, jak długo, komu je powierzamy oraz jakie prawa Ci przysługują.

Polityka uzupełnia Regulamin Aplikacji i należy je czytać łącznie.

§2. Słowniczek

W Polityce używamy następujących pojęć:

• Aplikacja — aplikacja mobilna „Nalewak" oraz powiązane usługi internetowe Administratora dostępne pod adresem nalewak.pl.
• Użytkownik — osoba fizyczna korzystająca z Aplikacji.
• Konto — indywidualne konto Użytkownika utworzone w wyniku rejestracji.
• Dane osobowe — wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.
• Treści Użytkownika — fotografie, zgłoszenia, awatar, nazwa użytkownika.
• Procesor / Podmiot przetwarzający — podmiot przetwarzający dane na zlecenie Administratora.
• RODO — Rozporządzenie (UE) 2016/679 (Ogólne Rozporządzenie o Ochronie Danych).
• EOG — Europejski Obszar Gospodarczy.
• PUODO — Prezes Urzędu Ochrony Danych Osobowych.

§3. Jakie dane przetwarzamy. Cele i podstawy prawne

Przetwarzamy wyłącznie dane niezbędne do realizacji wskazanych celów. Poniższa tabela zawiera kompletny wykaz.

A. Dane Konta

B. Dane techniczne (logi)

C. Dane lokalizacji

Lokalizacja NIE jest przetwarzana w tle — wyłącznie podczas aktywnego korzystania z funkcji wymagających lokalizacji. Możesz w każdej chwili cofnąć zgodę systemową na lokalizację w ustawieniach systemu Android — apka będzie wówczas działać z ograniczoną funkcjonalnością.

D. Treści Użytkownika

E. Dane do dochodzenia roszczeń (B2B)

F. Dane finansowe (przyszłe — Funkcje Premium)

G. Dane kontaktowe ze zgłoszeń, reklamacji

§4. Cele dodatkowe — zgoda

Niezależnie od przetwarzania niezbędnego do umowy, na podstawie dobrowolnej zgody (art. 6 ust. 1 lit. a RODO) możesz wyrazić zgodę na:

Brak zgody marketingowej nie ogranicza dostępu do bezpłatnych funkcji Aplikacji. Reklamy in-app w bezpłatnej wersji są elementem modelu biznesowego, nie marketingiem (zob. §11 Regulaminu).

Zgodę można cofnąć w każdej chwili — cofnięcie nie wpływa na zgodność z prawem przetwarzania, którego dokonaliśmy przed cofnięciem.

§5. Komu udostępniamy dane (Procesorzy)

Dane mogą być powierzone niżej wskazanym podmiotom przetwarzającym (art. 28 RODO) lub udostępnione odbiorcom — wyłącznie w zakresie i celu wskazanym poniżej:

A. Procesorzy techniczni

B. Inne kategorie odbiorców

• Organy ścigania, sądy, komornicy — gdy obowiązek wynika z przepisów prawa lub legitymizowanego żądania (DSA art. 9, KPK art. 218, KPC art. 248);
• Doradcy prawni, kancelarie — w celu obsługi prawnej Administratora (na podstawie tajemnicy zawodowej);
• Audytorzy, biegli rewidenci — w celu wykonywania ich zadań (art. 6 ust. 1 lit. f RODO);
• Następcy prawni Administratora — w razie restrukturyzacji, fuzji, sprzedaży przedsiębiorstwa — wyłącznie z zachowaniem ciągłości celu przetwarzania;
• Komercyjni licencjobiorcy (na podstawie odrębnej umowy licencyjnej) — w zakresie zagregowanych i zanonimizowanych danych statystycznych.

C. Czego NIE robimy

• Nie sprzedajemy Twoich danych osobowych podmiotom trzecim w celach komercyjnych niezwiązanych ze świadczeniem usługi Aplikacji. Powierzenie danych Procesorom technicznym wymienionym w §5A (w szczególności przekazanie treści fotografii do systemu OCR dostawcy modeli AI) nie stanowi sprzedaży danych — Procesorzy działają wyłącznie na podstawie umów powierzenia i zgodnie z naszymi instrukcjami, bez prawa do wykorzystywania danych we własnych celach komercyjnych.
• Nie udostępniamy Twoich danych osobowych w celach marketingu cross-app trackingu, retargetingu, RTB.
• Nie przekazujemy danych brokerom danych (data brokers) ani sieciom reklamowym typu DMP / SSP / DSP.

§6. Transfer poza EOG

Część Procesorów (OpenRouter, Google) ma siedzibę w USA. Transfer odbywa się na podstawie:

• Standardowych Klauzul Umownych (SCC) zatwierdzonych decyzją Komisji Europejskiej z 4 czerwca 2021 r. (decyzja 2021/914/UE);
• EU-U.S. Data Privacy Framework (decyzja Komisji Europejskiej z 10 lipca 2023 r.) — w zakresie podmiotów certyfikowanych;
• z dodatkowymi środkami zabezpieczającymi (szyfrowanie TLS, minimalizacja danych przekazywanych do OCR — wyłącznie obraz tablicy cenowej).

Możesz uzyskać kopię SCC oraz informacje o stosowanych środkach zabezpieczających, kierując żądanie na rodo@nalewak.pl.

§7. Jak długo przechowujemy dane (okresy retencji)

Po upływie okresu retencji dane są nieodwracalnie usuwane lub zanonimizowane (jeżeli mogą służyć celom statystycznym).

Uwaga o zasadzie minimalizacji. Przechowywanie pełnych fotografii po usunięciu Konta w celach dochodzenia roszczeń jest dopuszczalne wyłącznie wtedy, gdy istnieje konkretne, udokumentowane podejrzenie naruszenia — nie jako środek prewencyjny wobec wszystkich Użytkowników. Zasada minimalizacji danych (art. 5 ust. 1 lit. c RODO) wyklucza masowe zatrzymywanie zdjęć „na wszelki wypadek".

§8. Twoje prawa

W związku z przetwarzaniem Twoich danych osobowych masz następujące prawa:

A. Prawo do informacji (art. 13-14 RODO)

Niniejsza Polityka spełnia ten obowiązek. Możesz w każdej chwili żądać dodatkowych informacji.

B. Prawo dostępu do danych (art. 15 RODO)

Masz prawo uzyskać:

• potwierdzenie, czy przetwarzamy Twoje dane;
• kopię danych;
• informacje o celach, kategoriach danych, odbiorcach, okresach retencji.

C. Prawo do sprostowania (art. 16 RODO)

Możesz żądać sprostowania nieprawidłowych lub niekompletnych danych — większość pól możesz edytować samodzielnie w Profilu Aplikacji.

D. Prawo do usunięcia („prawo do bycia zapomnianym", art. 17 RODO)

Możesz żądać usunięcia danych, w szczególności gdy:

• dane nie są już niezbędne do celów, w których zostały zebrane;
• cofnąłeś zgodę i nie istnieje inna podstawa przetwarzania;
• wniosłeś skuteczny sprzeciw.

Sposób usunięcia:

• Samodzielnie w Profilu Aplikacji (przycisk „Usuń konto");
• E-mailem na rodo@nalewak.pl.

Wyjątki od prawa do usunięcia (RODO art. 17 ust. 3):

• gdy dalsze przetwarzanie jest niezbędne do wywiązania się z obowiązku prawnego;
• do ustalenia, dochodzenia lub obrony roszczeń (np. jeśli toczy się sprawa o karę z §8b Regulaminu);
• do celów archiwalnych w interesie publicznym, badań naukowych lub statystycznych — w zakresie zagregowanych danych historycznych cen.

E. Prawo do ograniczenia przetwarzania (art. 18 RODO)

Możesz żądać czasowego wstrzymania przetwarzania — np. w trakcie weryfikacji prawidłowości danych lub jeśli zgłosiłeś sprzeciw.

F. Prawo do przenoszenia danych (art. 20 RODO)

Możesz żądać otrzymania swoich danych w ustrukturyzowanym formacie (JSON), umożliwiającym przeniesienie ich do innego administratora. Realizujemy w terminie 30 dni od zgłoszenia na rodo@nalewak.pl.

G. Prawo do sprzeciwu (art. 21 RODO)

Masz prawo wnieść sprzeciw wobec przetwarzania na podstawie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO), w tym profilowania. Wobec przetwarzania w celach marketingu bezpośredniego sprzeciw jest bezwarunkowy — musimy zaprzestać przetwarzania.

H. Prawo do cofnięcia zgody (art. 7 ust. 3 RODO)

Wszystkie zgody możesz cofnąć w każdej chwili — instrukcje w §4. Cofnięcie nie wpływa na zgodność z prawem przetwarzania, którego dokonaliśmy przed cofnięciem.

I. Prawo do niepodlegania automatycznym decyzjom (art. 22 RODO)

Aplikacja stosuje automatyczne podejmowanie decyzji w odniesieniu do:

• Moderacji Treści (akceptacja / odrzucenie zdjęcia na podstawie OCR);
• Wykrywania nadużyć (auto-blokada Konta przy ataku DDoS lub anomaliach);
• Walidacji konsensusu cenowego.

W odniesieniu do tych decyzji masz prawo żądać interwencji ludzkiej — zgłoszenie kierowane na kontakt@nalewak.pl, rozpatrywane w terminie 14 dni.

J. Prawo do skargi do organu nadzorczego (art. 77 RODO)

Możesz wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych:

Urząd Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa tel. 22 531 03 00 www.uodo.gov.pl

K. Sposób realizacji praw

Wnioski w sprawie realizacji praw kieruj na rodo@nalewak.pl. Realizujemy je w terminie 30 dni (z możliwością przedłużenia o 60 dni w przypadkach złożonych — z uzasadnieniem). Dla weryfikacji tożsamości możemy poprosić o dodatkowe informacje pozwalające na identyfikację (np. e-mail przypisany do Konta). Realizacja praw jest bezpłatna — z wyjątkiem żądań ewidentnie nieuzasadnionych lub nadmiernych (art. 12 ust. 5 RODO).

§9. Bezpieczeństwo danych

Stosujemy następujące środki techniczne i organizacyjne (art. 32 RODO):

Techniczne:

• Szyfrowanie transmisji TLS 1.2+ (HTTPS dla całej komunikacji z serwerem);
• Szyfrowanie tokenów uwierzytelniających (JWT podpisany sekretnym kluczem) i przechowywanie w SecureStore systemu Android;
• Klucz prywatny urządzenia generowany w Android Keystore (Trusted Execution Environment / StrongBox) — nigdy nie opuszcza sprzętowego enklawy;
• Hasła administracyjne chronione poprzez szyfrowanie + 2FA;
• Backup danych z szyfrowaniem at-rest;
• Anti-DDoS, rate limiting per-IP i per-konto;
• Wykrywanie anomalii (nadużyć, scrapingu) — automatyczne blokady;
• Logi audytowe wszystkich operacji administracyjnych.

Organizacyjne:

• Polityka kontroli dostępu (zasada minimalnych uprawnień);
• Umowy poufności z osobami i podmiotami przetwarzającymi dane;
• Regularne audyty bezpieczeństwa;
• Procedura zgłaszania incydentów RODO (art. 33-34 RODO) — w przypadku naruszenia ochrony danych poinformujemy PUODO w 72h oraz Użytkowników, jeżeli naruszenie powoduje wysokie ryzyko;
• Aktualizacja oprogramowania i zależności w odpowiedzi na luki bezpieczeństwa.

Co Ty możesz zrobić:

• Nie udostępniaj nikomu kodów SMS / linków logowania;
• Włącz blokadę ekranu telefonu;
• Stosuj aktualne oprogramowanie zabezpieczające;
• W razie podejrzenia kradzieży konta — natychmiast skontaktuj się z kontakt@nalewak.pl.

§10. Identyfikatory urządzenia. Technologie podobne do cookies

Aplikacja nie wykorzystuje plików cookies w klasycznym sensie (nie jest aplikacją webową).

Stosujemy natomiast następujące technologie tożsame w kontekście systemu Android:

Mapy w Aplikacji są wyświetlane w WebView z silnikiem Chromium — kafle map (OpenStreetMap, OpenFreeMap) ładowane z naszego serwera proxy, nie ustawiają cookies trzecioosobowych.

Uwaga dot. FCM. Firebase Cloud Messaging Token jest przekazywany do infrastruktury Google LLC (USA) w celu doręczenia powiadomień push. Administrator nie kontroluje przetwarzania danych po stronie infrastruktury Google i nie ponosi odpowiedzialności za przetwarzanie danych przez Google we własnych celach. Polityka prywatności Google dostępna jest pod adresem policies.google.com/privacy. Możesz wyłączyć powiadomienia push w ustawieniach systemu Android — nie wpłynie to na podstawowe funkcje Aplikacji.

§11. AI i automatyczne przetwarzanie

Aplikacja wykorzystuje systemy sztucznej inteligencji (AI) do:

• OCR fotografii tablic cenowych (modele Gemma, Nemotron przez OpenRouter);
• Klasyfikacji i moderacji Treści (filtr treści zakazanych);
• Walidacji konsensusu cenowego (algorytm zgodności ≥2/3 niezależnych odczytów);
• Wykrywania nadużyć (anomalie ruchu, scraping);
• Generowania zagregowanych podsumowań (rankingów stacji, statystyk regionalnych).

Co to oznacza dla Ciebie:

• Treść Twoich zdjęć może być przetwarzana przez modele AI dostawców trzecich (OpenRouter, USA) — wyłącznie obraz, bez Twoich danych identyfikacyjnych;
• Wyniki AI nie są w 100% dokładne — Operator nie gwarantuje, że ceny prezentowane w Aplikacji są bezbłędne;
• Treści fotografii (po anonimizacji danych osobowych osób trzecich widocznych na zdjęciu) mogą być wykorzystywane do trenowania własnych modeli AI Administratora (w szczególności modeli OCR dedykowanych rozpoznawaniu tablic cenowych stacji paliw). Przetwarzanie to odbywa się na podstawie uzasadnionego interesu Administratora (art. 6 ust. 1 lit. f RODO) polegającego na doskonaleniu jakości usługi i rozwijaniu własnych systemów rozpoznawania obrazu. Administrator przeprowadził test równowagi interesów i uznał, że cel ten nie narusza w sposób nieproporcjonalny praw i wolności Użytkowników, biorąc pod uwagę ograniczony zakres przekazywanych danych (wyłącznie treść obrazu tablicy, bez danych identyfikacyjnych Użytkownika) oraz oczywisty związek z celem usługi. Masz prawo w każdej chwili wnieść sprzeciw (art. 21 RODO), kierując wiadomość na rodo@nalewak.pl z tytułem „Sprzeciw — trenowanie AI". Po uwzględnieniu sprzeciwu Twoje fotografie zostaną wykluczone ze zbiorów treningowych, a jeżeli zostały już włączone — Administrator podejmie uzasadnione technicznie działania w celu ich usunięcia ze zbiorów treningowych;
• W odniesieniu do decyzji w pełni automatycznych (np. odrzucenie uploadu) masz prawo do interwencji ludzkiej (art. 22 ust. 3 RODO).

§12. Reklamy w Aplikacji a dane

Reklamy in-app w bezpłatnej wersji Aplikacji są integralnym elementem usługi. Wyświetlamy:

• reklamy własne i partnerskie — kierowane na podstawie kontekstu (lokalizacja stacji, region, status konta);
• bez profilowania w rozumieniu RODO (art. 4 pkt 4) — kontekst nie jest profilem;
• bez cross-app trackingu, retargetingu, RTB;
• bez przekazywania danych do giełd reklamowych (DMP / SSP / DSP).

Wyświetlanie reklam in-app nie wymaga odrębnej zgody marketingowej i jest niezależne od preferencji marketingowych ustawionych w Profilu (zob. §11 Regulaminu).

§13. Dzieci

Aplikacja jest przeznaczona wyłącznie dla osób, które ukończyły 16 lat (art. 8 RODO w związku z art. 16 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych). Nie przetwarzamy świadomie danych osób poniżej 16. roku życia.

W celu weryfikacji tego wymogu Administrator stosuje następujące środki:

• oświadczenie o wieku składane przez Użytkownika przy rejestracji (checkbox potwierdzający ukończenie 16 lat);
• wymóg podania aktywnego numeru telefonu komórkowego (weryfikacja kodem SMS) — ograniczający dostęp dla dzieci nieposiadających własnego numeru;
• monitorowanie wzorców użytkowania wskazujących na niepełnoletność i usuwanie takich kont.

Administrator przyjmuje do wiadomości, że powyższe środki nie eliminują całkowicie ryzyka rejestracji przez osoby poniżej 16 lat, i zobowiązuje się do niezwłocznego usunięcia konta i danych w razie powzięcia takiej informacji. Zgłoszenia kieruj na rodo@nalewak.pl.

Osoby w wieku 16–17 lat mogą korzystać z Aplikacji wyłącznie za uprzednią zgodą przedstawiciela ustawowego — zgodnie z §2 ust. 3 Regulaminu.

§14. Zmiany Polityki Prywatności

Możemy zmienić niniejszą Politykę Prywatności z ważnych przyczyn, w szczególności:

• zmiany przepisów prawa (RODO, AI Act, DSA);
• zmiany w sposobie świadczenia usług;
• wprowadzenia nowych funkcji wymagających przetwarzania nowych kategorii danych;
• zmiany struktury Procesorów;
• decyzji organów państwowych.

O zmianach poinformujemy:

• powiadomieniem w Aplikacji (push lub komunikat ekranowy przy uruchomieniu);
• wiadomością e-mail na adres przypisany do Konta;
• co najmniej 14 dni przed wejściem zmian w życie.

W przypadku istotnych zmian wpływających na zakres przetwarzanych danych osobowych, podstawy prawne przetwarzania, nowych kategorii odbiorców danych lub istotnego poszerzenia celów przetwarzania, Administrator może wymagać wyraźnego potwierdzenia zapoznania się ze zmianami poprzez kliknięcie przycisku „Zapoznałem się ze zmianami Polityki Prywatności" wyświetlonego przy uruchomieniu Aplikacji. Do czasu takiego potwierdzenia Użytkownik może korzystać z Aplikacji na dotychczasowych warunkach, jednak nie dłużej niż przez 30 dni od daty wejścia zmian w życie; po tym terminie brak potwierdzenia jest równoznaczny z wypowiedzeniem umowy przez Użytkownika.

Zmiany nieistotne (redakcyjne, aktualizacja danych kontaktowych, zmiana nazwy Procesora bez zmiany zakresu przetwarzania) wchodzą w życie po upływie 14-dniowego okresu powiadomienia bez wymogu wyraźnej akceptacji.

Aktualna wersja Polityki jest dostępna pod adresem https://nalewak.pl/polityka-prywatnosci wraz z datą wejścia w życie.

Poprzednie wersje są archiwizowane i udostępniane na żądanie pod adresem rodo@nalewak.pl.

§15. Pytania i kontakt

W każdej sprawie dotyczącej Twoich danych osobowych:

• E-mail: rodo@nalewak.pl (preferowane)
• Korespondencyjnie: DataMiners sp. z o.o., ul. Cyfrowa 6, 71-441 Szczecin
• Skarga do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, www.uodo.gov.pl

§16. Postanowienia końcowe

1. W sprawach nieuregulowanych w niniejszej Polityce mają zastosowanie przepisy RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, ustawy o świadczeniu usług drogą elektroniczną oraz inne właściwe przepisy prawa polskiego i unijnego.
2. Politykę interpretuje się zgodnie z Regulaminem Aplikacji (https://nalewak.pl/regulamin).
3. W razie sprzeczności z postanowieniami Regulaminu, w zakresie ochrony danych osobowych pierwszeństwo ma niniejsza Polityka.
4. Politykę sporządzono w języku polskim — w przypadku tłumaczeń wersja polska jest wiążąca.