Polityka prywatności usługi Oreniq

PROJEKT — RELEASE BLOCKER. Dokument nie jest gotowy do publikacji. Należy uzupełnić dane Administratora, retencję, kanały realizacji praw i usuwania Konta, zweryfikować umowy z dostawcami oraz uzyskać akceptację prawnika dla wszystkich rynków dystrybucji.

1. Zakres Polityki

Polityka opisuje przetwarzanie danych osobowych i informacji związanych z korzystaniem z wieloplatformowej usługi Oreniq (dalej: „Usługa”) w aplikacjach iOS i Android oraz w serwisie oreniq.app. Obejmuje tryb Gościa, Konto, wieloplatformowe monitorowanie ofert, powiadomienia, płatne Subskrypcje oraz bezpłatne Granty promocyjne Premium.

Terminy „Gość”, „Konto”, „Obserwacja”, „Premium” i „Subskrypcja” mają znaczenie nadane w Regulaminie.

2. Administrator danych

3. Jakie dane mogą być przetwarzane

3.1. Tryb Gościa, instalacja i urządzenie

• pseudonimowy identyfikator instalacji lub technicznego właściciela danych,
• token push i status uprawnienia do powiadomień,
• platforma, wersja klienta, język, motyw i środowisko uruchomieniowe,
• wybrane ustawienia, w tym częstotliwość monitoringu,
• wersje zaakceptowanych dokumentów prawnych.

Techniczny identyfikator używany w trybie Gościa nie jest publicznym profilem Użytkownika, ale może stanowić dane osobowe w rozumieniu prawa, jeżeli pozwala powiązać zdarzenia z konkretną instalacją.

3.2. Konto i logowanie

• wewnętrzny identyfikator Konta (UID),
• adres e-mail i status jego weryfikacji,
• wybrany dostawca logowania,
• dane przekazane przez dostawcę logowania w zakresie zatwierdzonym przez Użytkownika, np. nazwa lub adres ukryty przez Apple,
• daty utworzenia, ostatniego logowania i status Konta,
• dane potrzebne do bezpieczeństwa, zapobiegania nadużyciom i obsługi Konta.

Administrator nie otrzymuje hasła do konta Apple, Google ani Microsoft. W przypadku logowania e-mail hasło jest obsługiwane przez usługę uwierzytelniania; Usługa nie zapisuje go w postaci jawnej.

3.3. Obserwacje ofert

• link i identyfikator oferty u zewnętrznego dostawcy,
• hotel, kierunek, lokalizacja i zdjęcie oferty,
• terminy, długość pobytu, lotniska, pokój, wyżywienie i transport,
• liczba dorosłych i dzieci w konfiguracji podróży,
• cena, waluta, historia cen, zmian i alertów,
• status aktywności lub archiwum oraz ustawienia monitoringu.

Dla zalogowanego Użytkownika kanoniczna Obserwacja jest przechowywana w chmurze pod UID Konta, a klient może utrzymywać lokalny cache i snapshot offline. Chronione komendy serwerowe tworzą, aktualizują i archiwizują Obserwację. Na iOS i Androidzie okresowa analiza może być wykonywana na urządzeniu Użytkownika, a do chmury trafia ograniczony wynik. W serwisie WWW worker może pobrać publiczny adres oferty przez HTTP lub kontrolowaną przeglądarkę wyłącznie po wyzwoleniu z aktywnej sesji. Oreniq nie wykonuje cyklicznego serwerowego monitoringu ofert po zamknięciu strony WWW.

3.4. Uprawnienia, Subskrypcje i Granty Premium

• UID Konta używany jako pseudonimowy identyfikator klienta zakupowego,
• identyfikator produktu, wariant Premium i okres rozliczeniowy,
• Sklep, środowisko transakcji i kraj lub region sklepu,
• identyfikator transakcji i transakcji pierwotnej oraz daty zakupu, odnowienia i wygaśnięcia,
• status uprawnienia, automatycznego odnowienia, anulowania, płatności oczekującej, okresu karencji lub problemu rozliczeniowego,
• informacja o okresie próbnym lub promocyjnym, zwrocie, cofnięciu, unieważnieniu albo odwołaniu transakcji.
• źródło dostępu, efektywny poziom, daty aktywacji i wygaśnięcia oraz techniczny zapis rozstrzygnięcia wielu równoległych źródeł,
• identyfikator kampanii bezpłatnego kodu, skrócony suffix, limity i status realizacji; pełny kod nie jest przechowywany w Firestore,
• pseudonimowy, techniczny audyt przyznania, przedłużenia, wygaśnięcia albo cofnięcia źródła dostępu.

Płatność przetwarza Apple albo Google. Administrator i RevenueCat nie otrzymują pełnego numeru karty płatniczej ani danych logowania do konta Sklepu. Ceny i waluta mogą być przekazywane w danych transakcyjnych lub raportach Sklepu w zakresie potrzebnym do rozliczeń i obsługi zakupu.

Kod promocyjny jest przekazywany w fragmencie URL. Serwis WWW odczytuje go przed uruchomieniem analityki, przechowuje wyłącznie w pamięci sesji, usuwa z widocznego adresu i nie wysyła do GA4, raportów awarii ani logów. Backend zapisuje tylko HMAC-SHA256 utworzony z sekretnym pepperem i krótki suffix potrzebny do rozpoznania kodu.

3.5. Kontakt i zgłoszenia

• adres e-mail, imię lub nazwa podane w wiadomości,
• temat, treść i załączniki wysłane przez Użytkownika,
• nazwa brakującego operatora i przykładowy link,
• dane potrzebne do obsługi reklamacji lub żądania dotyczącego danych.

3.6. Trzy rozdzielone rodzaje pomiaru

• agregaty operacyjne — liczby kont, poziomów Premium, Obserwacji i kampanii kodowych potrzebne do utrzymania Usługi; panel administracyjny nie zwraca list e-maili, UID ani danych ofert,
• opcjonalna telemetria produktu — dane użycia i diagnostyczne w Firebase Analytics lub Crashlytics, wyłącznie po uzyskaniu wymaganej zgody,
• pomiar treści sponsorowanych — anonimowe agregaty i rotacyjne pseudonimowe ścieżki emisji, np. wyświetlenie, kliknięcie, kampania, kreacja i placement; nie zawierają UID ani danych oferty i są prowadzone niezależnie od ustawienia telemetrii produktu,
• informacje techniczne potrzebne do pobrania kreacji i otwarcia linku partnera.

Dane operacyjne, transakcyjne Premium i zabezpieczenia kodów nie są opcjonalną telemetryką. Są przetwarzane niezależnie od ustawienia telemetrii w zakresie niezbędnym do świadczenia Usługi, ustalenia uprawnienia, rozliczeń, bezpieczeństwa i obowiązków prawnych.

4. Cele i podstawy prawne

• udostępnianie trybu Gościa, Konta, synchronizacji, serwerowego monitoringu, Obserwacji, powiadomień i Premium — art. 6 ust. 1 lit. b RODO,
• zawarcie i wykonanie Subskrypcji, potwierdzanie uprawnienia, przywracanie zakupów i obsługa reklamacji — art. 6 ust. 1 lit. b RODO,
• realizacja bezpłatnych Grantów, pilnowanie limitów i utrzymanie projekcji dostępu — art. 6 ust. 1 lit. b lub f RODO, zależnie od celu kampanii i ustaleń prawnych,
• obowiązki rachunkowe, podatkowe, konsumenckie i dotyczące żądań organów — art. 6 ust. 1 lit. c RODO,
• agregaty operacyjne, bezpieczeństwo, zapobieganie nadużyciom, obrona roszczeń i zapewnienie ciągłości Usługi — art. 6 ust. 1 lit. f RODO,
• odpowiedź na kontakt i usprawnianie obsługi — art. 6 ust. 1 lit. b lub f RODO, zależnie od sprawy,
• opcjonalna telemetria produktu — art. 6 ust. 1 lit. a RODO, jeżeli zgoda jest wymagana i została udzielona.

Administrator powinien przed publikacją przeprowadzić i udokumentować ocenę podstaw prawnych, uzasadnionego interesu oraz obowiązków informacyjnych dla pomiaru treści sponsorowanych: [RELEASE BLOCKER — WERYFIKACJA PRAWNIKA].

5. Odbiorcy i dostawcy

Dane mogą być przekazywane następującym kategoriom odbiorców:

• Google Firebase i Google Cloud — uwierzytelnianie, baza danych, Hosting, Cloud Functions, Cloud Run, Cloud Tasks, Scheduler, powiadomienia i, za zgodą, analityka lub diagnostyka,
• RevenueCat, Inc. — podmiot przetwarzający dane na polecenie Administratora w celu obsługi uprawnień i zdarzeń Subskrypcji,
• Apple i Google — operatorzy Sklepów przetwarzający płatność i dane kont sklepowych zgodnie z własnymi zasadami i rolą prawną,
• dostawcy hostingu, poczty, supportu i bezpieczeństwa,
• zewnętrzni Operatorzy ofert i partnerzy po otwarciu ich serwisu,
• doradcy oraz organy uprawnione na podstawie prawa.

RevenueCat opisuje swoją rolę wobec danych klientów jako procesora w Data Processing Addendum. Przed produkcją Administrator musi zawrzeć lub zaakceptować właściwą umowę powierzenia, sprawdzić listę podprocesorów i skonfigurować usługę zgodnie z zasadą minimalizacji danych.

6. Przekazywanie danych poza EOG

Dostawcy, w tym Google, Apple i RevenueCat, mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym. Transfer powinien opierać się na decyzji stwierdzającej odpowiedni stopień ochrony, standardowych klauzulach umownych lub innym mechanizmie przewidzianym prawem.

Finalne kraje, podprocesorzy, zabezpieczenia transferu oraz ocena ryzyka: [UZUPEŁNIJ PO WERYFIKACJI UMÓW — RELEASE BLOCKER].

7. Okres przechowywania

• dane Konta i zsynchronizowane Obserwacje — do usunięcia Konta lub wcześniejszego usunięcia danych przez Użytkownika, z zastrzeżeniem danych wymagających dalszej retencji,
• lokalne Obserwacje — do ich usunięcia, wyczyszczenia danych aplikacji lub odinstalowania, zależnie od platformy i kopii zapasowych,
• status i historia Subskrypcji — przez okres świadczenia usługi, a następnie przez okres potrzebny do rozliczeń, reklamacji, obowiązków prawnych i obrony roszczeń,
• źródła Premium, realizacje kodów i ograniczony audyt — przez czas aktywności źródła oraz okres potrzebny do przeciwdziałania nadużyciom, reklamacji i obrony roszczeń; szczegółowe czasy wymagają zatwierdzenia,
• pomiar reklam — lokalny token instalacji jest rotowany po 30 dniach, pseudonim zasięgu wygasa po 31 dniach, a techniczny identyfikator idempotencji zdarzenia po 48 godzinach; zagregowane statystyki kampanii podlegają okresowi zatwierdzonemu przed publikacją,
• token push i dane instalacji — do utraty ważności, wyłączenia funkcji lub usunięcia powiązania,
• korespondencja — przez czas obsługi sprawy i właściwy okres roszczeń,
• dane telemetryczne — według skonfigurowanej retencji dostawcy lub do wcześniejszego usunięcia, jeżeli jest dostępne i wymagane.

Przed publikacją należy wpisać konkretne, uzasadnione okresy retencji i procedurę usuwania kopii zapasowych: [UZUPEŁNIJ Z PRAWNIKIEM — RELEASE BLOCKER].

8. Usunięcie Konta i danych

Przed wydaniem Usługa musi zapewnić łatwo dostępne zainicjowanie usunięcia Konta i danych powiązanych oraz działający zasób internetowy pozwalający złożyć takie żądanie bez ponownej instalacji aplikacji.

Usunięcie Konta Oreniq nie anuluje automatycznie Subskrypcji w Apple App Store ani Google Play. Przed usunięciem Usługa powinna wyraźnie o tym poinformować i udostępnić przejście do zarządzania Subskrypcją. Dane transakcyjne mogą pozostać w Sklepie oraz w dokumentacji Administratora w zakresie wymaganym przez prawo albo niezbędnym do obrony roszczeń.

9. Prawa Użytkownika

W granicach przewidzianych prawem Użytkownik może żądać:

• dostępu do danych i ich kopii,
• sprostowania, usunięcia lub ograniczenia przetwarzania,
• przeniesienia danych,
• wniesienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f RODO,
• wycofania zgody bez wpływu na wcześniejsze przetwarzanie,
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Żądania należy kierować na: [UZUPEŁNIJ E-MAIL LUB FORMULARZ — RELEASE BLOCKER]. Administrator może poprosić o proporcjonalne potwierdzenie tożsamości.

10. Zautomatyzowane decyzje i profilowanie

Usługa nie powinna podejmować wobec Użytkownika decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub podobnie istotnie na niego wpływają. Dobór techniczny wariantu reklamy albo egzekwowanie limitu zgodnie z efektywnym poziomem Konta nie ma takiego celu. Automatyczne wybranie najwyższego aktywnego źródła Premium jest technicznym wykonaniem wcześniej określonych reguł dostępu.

11. Bezpieczeństwo

Przed wydaniem Administrator musi wdrożyć i zweryfikować środki adekwatne do ryzyka, w tym kontrolę dostępu, szyfrowanie transmisji, ograniczenie zakresu danych, izolację danych według właściciela i monitorowanie bezpieczeństwa. Zakres środków organizacyjnych i wynik oceny ryzyka: [UZUPEŁNIJ — RELEASE BLOCKER]. Żaden system nie zapewnia absolutnego bezpieczeństwa.

12. Dzieci

Usługa nie jest kierowana do dzieci. Liczba dzieci w konfiguracji podróży jest parametrem oferty i nie powinna identyfikować konkretnego dziecka. Warunki wieku do utworzenia Konta i zakupu Subskrypcji: [USTAL Z PRAWNIKIEM I SKLEPAMI — RELEASE BLOCKER].

13. Zmiany Polityki

Polityka może być aktualizowana w razie zmian prawa, dostawców lub funkcji. O istotnych zmianach Użytkownik zostanie poinformowany w sposób wymagany prawem, a gdy będzie to konieczne, Usługa poprosi o ponowną akceptację lub zgodę.

14. Kontakt

Kontakt w sprawach prywatności: [UZUPEŁNIJ DANE ADMINISTRATORA — RELEASE BLOCKER].

Nie publikować w tej postaci. Funkcja usuwania Konta i webowy kanał usunięcia nie są w tym dokumencie oznaczone jako wdrożone. Ich implementacja, test, konfiguracja retencji, umowy z RevenueCat i pozostałymi dostawcami oraz finalna opinia prawnika są obowiązkowymi warunkami wydania.