Polityka prywatności

Dietabis · CodeDriven Sebastian Rosiński

Polityka prywatności Dietabis

Wersja 1.2 z dnia 25 października 2026 r. — obowiązuje od 25 października 2026 r.

1. Administrator danych

Administratorem danych w rozumieniu RODO (rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679) jest (dalej: „Administrator” lub „Sprzedawca”):

CodeDriven Sebastian Rosiński
NIP: 6351828443
Adres: ul. Nowa 27/18, 43-190 Mikołów
Kontakt w sprawach danych osobowych: kontakt@codedriven.pl

Administrator nie wyznaczył inspektora ochrony danych — we wszystkich sprawach dotyczących danych osobowych prosimy o kontakt pod powyższym adresem.

2. Najważniejsze w skrócie

W Dietabis nie zakładasz konta i nie podajesz nam swojego imienia, adresu e-mail, wagi ani innych danych o zdrowiu. Aplikacja nie wymaga rejestracji — dostęp do zakupionych treści jest powiązany wyłącznie z Twoim kontem w Sklepie (Google Play / App Store), a nie z kontem w Aplikacji. Poniżej wyjaśniamy też, jakie dane techniczne mimo to muszą powstać, żeby zweryfikować Twój zakup i wydać Ci treść.

3. Jakich danych NIE zbieramy

Aplikacja nie prosi o imię, nazwisko ani adres e-mail — otrzymujemy je tylko wtedy, gdy sam do nas napiszesz (patrz punkt 4 „Dane, które sami nam przekazujesz”).

Aplikacja i jej twórca celowo nie zbierają i nie proszą też o:

  • wagę, wzrost, wiek ani inne dane dotyczące stanu zdrowia,
  • dane o lokalizacji,
  • dane logowania do serwisów osób trzecich (w tym Cookidoo®).

Aplikacja Dietabis nie posiada systemu kont użytkowników.

4. Dane, które sami nam przekazujesz

Korespondencja — jeżeli napiszesz do nas na adres kontakt@codedriven.pl (reklamacja, pytanie o dane, zgłoszenie dotyczące przepisu bazowego), przetwarzamy Twój adres e-mail i treść wiadomości wyłącznie w celu obsługi sprawy (art. 6 ust. 1 lit. b i f RODO), przez czas potrzebny do jej zakończenia oraz okres przedawnienia ewentualnych roszczeń.

Odstąpienie od umowy i zwrot płatności — jeżeli złożysz nam oświadczenie o odstąpieniu od umowy (e-mailem albo pisemnie), przetwarzamy dane z oświadczenia: adres e-mail albo adres pocztowy, imię i nazwisko (jeżeli je podasz), Produkt, datę zakupu i numer zamówienia Sklepu. Jeżeli odstępujesz przez funkcję zwrotu Sklepu, Twoje dane przetwarza Sklep jako odrębny administrator (punkt 6). Jeżeli zwrot płatności wymaga przelewu bezpośrednio od Sprzedawcy (§ 5 pkt 8 regulaminu), przetwarzamy też numer rachunku i imię i nazwisko jego posiadacza, które nam w tym celu podasz. Robimy to w celu potwierdzenia otrzymania oświadczenia i zwrotu płatności, do czego zobowiązuje nas ustawa o prawach konsumenta (art. 6 ust. 1 lit. c RODO), oraz w celu ustalenia, dochodzenia lub obrony roszczeń (art. 6 ust. 1 lit. f RODO).

5. Dane na Twoim urządzeniu — i dane, które muszą je opuścić

Poniższe ustawienia są zapisywane wyłącznie lokalnie, na urządzeniu Użytkownika, i nie są wysyłane do Sprzedawcy:

  • dokonane zamiany posiłków w planie,
  • ulubione dania (oznaczone sercem),
  • pobrane paczki treści (jadłospisy) zapisane offline,
  • potwierdzenia zakupów (nazwa Produktu, cena, data zakupu i treść wyrażonej zgody) — widoczne w Ustawieniach → Twoje zakupy,
  • ustawienia Aplikacji (np. wybrany rynek, motyw, wybrany plan i jego wariant, lista posiadanych Produktów i stan przełącznika linków do przepisów bazowych),
  • odpowiedzi z kwestionariusza „Pomóż w doborze diety” (płeć, wiek, wzrost, masa ciała, aktywność, cel, preferencje, liczba posiłków) — obliczenia (BMI, szacunkowe zapotrzebowanie) wykonywane są wyłącznie na urządzeniu; odpowiedzi można też usunąć osobno, wybierając „Usuń odpowiedzi doradcy” w Ustawieniach.

Dane te można w każdej chwili usunąć samodzielnie, wybierając „Usuń dane z urządzenia” w Ustawieniach Aplikacji, albo poprzez odinstalowanie Aplikacji z urządzenia — obie czynności trwale kasują dane lokalne.

Zapisywanie tych informacji na urządzeniu i odczytywanie ich przez Aplikację jest konieczne do świadczenia funkcji, z których korzystasz (art. 399 ust. 3 pkt 2 ustawy — Prawo komunikacji elektronicznej), dlatego nie prosimy o odrębną zgodę. Aplikacja nie używa plików cookie ani podobnych technologii do celów reklamowych lub analitycznych.

„Usuń dane z urządzenia” nie kasuje losowego identyfikatora instalacji ani przechowywanej na urządzeniu przez usługę zakupów (RevenueCat) kopii historii zakupów — są one potrzebne do obsługi zakupów, dlatego po usunięciu danych Aplikacja nadal rozpoznaje kupione Produkty. Usuwa je odinstalowanie Aplikacji. Na Androidzie Aplikacja ma wyłączoną systemową kopię zapasową (zarówno w chmurze, jak i przy przenoszeniu danych między urządzeniami), więc odinstalowanie kasuje je bez możliwości odtworzenia. Na iOS nie da się tego wyłączyć: przywrócenie iPhone’a z kopii zapasowej iCloud albo komputera może odtworzyć dane Aplikacji, w tym identyfikator usługi zakupów. Po ponownej instalacji albo na nowym urządzeniu dostęp do kupionych Produktów przywraca funkcja „Przywróć zakupy” w Ustawieniach, która odczytuje historię zakupów z konta Sklepu (Google Play albo App Store).

Osobno wyjaśniamy: informacja o tym, który Produkt (dieta × poziom kcal) kupiłeś, nie pozostaje wyłącznie na urządzeniu. Trafia do RevenueCat jako historia zakupów oraz — przy każdym pobraniu treści — na nasz serwer, razem z losowym identyfikatorem instalacji, który nie zawiera danych identyfikujących (pseudonimizacja w rozumieniu art. 4 pkt 5 RODO), i adresem IP. Bez tego nie da się sprawdzić, że masz prawo do zakupionej treści.

6. Odbiorcy i procesorzy danych

Do działania Aplikacji niezbędne jest skorzystanie z usług następujących podmiotów, które przetwarzają dane w zakresie opisanym poniżej:

  1. RevenueCat (RevenueCat, Inc., USA) — dostawca infrastruktury do obsługi zakupów w aplikacji, podmiot przetwarzający działający w imieniu Administratora. Przetwarza losowy identyfikator instalacji (app_user_id), historię zakupów Produktów, ustawienia regionalne i walutę oraz — w związku z połączeniem sieciowym — adres IP urządzenia, niezbędne do zweryfikowania, że dany egzemplarz Aplikacji ma prawo do odebrania treści zakupionego Produktu. RevenueCat nie otrzymuje od Sprzedawcy imienia, nazwiska ani adresu e-mail Użytkownika; zbieranie identyfikatorów urządzenia (np. identyfikatora reklamowego) jest w Aplikacji wyłączone.
  2. Supabase (umowa z Supabase Pte. Ltd., Singapur; projekt Administratora w regionie Frankfurt, UE) — dostawca infrastruktury serwującej katalog diet i treść jadłospisów po zweryfikowaniu zakupu. Do funkcji serwerowej wydającej treść zakupioną Aplikacja wysyła identyfikator kupionego Produktu oraz losowy identyfikator instalacji (a także kod wybranego kraju, służący wyłącznie do wydania treści właściwej dla tego kraju); służą one do weryfikacji zakupu w RevenueCat oraz do ograniczania nadużyć (limit żądań na identyfikator i adres IP). Do ograniczania nadużyć baza zapisuje wyłącznie skróty kryptograficzne (solony SHA-256) adresu IP i identyfikatora instalacji, nigdy ich surowe wartości. Pobranie darmowego podglądu (1 dzień przykładowy) wysyła do tej samej funkcji wyłącznie identyfikator produktu i kod wybranego kraju, bez identyfikatora instalacji — bo podgląd nie wymaga weryfikacji zakupu. Pobranie katalogu diet i stanu przełącznika linków nie wysyła żadnego identyfikatora (przy katalogu wysyłany jest jedynie kod wybranego kraju). Infrastrukturę tę Sprzedawca konfiguruje samodzielnie — Supabase jest w tym zakresie podmiotem przetwarzającym. W związku z obsługą żądań sieciowych Supabase przetwarza we wszystkich tych przypadkach standardowe logi serwera, w tym adres IP urządzenia, w zakresie typowym dla działania każdej usługi internetowej (bezpieczeństwo, diagnostyka, ograniczanie nadużyć).
  3. Cloudflare (Cloudflare, Inc., USA) — dostawca sieci dostarczania treści, z której Aplikacja pobiera zdjęcia dań (adres img.codedriven.pl). Przy pobraniu zdjęcia Cloudflare przetwarza adres IP urządzenia, adres pobieranego pliku i standardowe nagłówki żądania, w celu dostarczenia pliku i ochrony usługi, jako podmiot przetwarzający. Pobranie zdjęcia nie wysyła identyfikatora instalacji ani informacji o zakupach.
  4. Dostawca usługi poczty elektronicznej obsługujący skrzynkę kontakt@codedriven.pl — w zakresie korespondencji, w tym oświadczeń o odstąpieniu od umowy (punkt 4).
  5. Sklep (Google Play / App Store) — obsługuje płatność za Produkty jako odrębny, niezależny administrator danych rozliczeniowych i płatniczych Użytkownika. Sprzedawca nie ma wglądu w dane karty płatniczej ani szczegóły rozliczeniowe przetwarzane przez Sklep. Prośbę o zwrot złożoną przez funkcję Sklepu rozpatruje Sklep na własnych zasadach przetwarzania danych.

Dane mogą też zostać udostępnione organom publicznym, jeżeli obowiązek taki wynika z przepisów prawa.

Bezpieczeństwo. Cała komunikacja Aplikacji z serwerami odbywa się szyfrowanym połączeniem (HTTPS). Zbieramy tylko dane niezbędne do weryfikacji zakupu i wydania treści, a do ograniczania nadużyć zapisujemy wyłącznie solone skróty kryptograficzne, nie surowe adresy IP ani identyfikatory. Dostęp do konfiguracji usług ma wyłącznie Administrator.

7. Przekazywanie danych poza Europejski Obszar Gospodarczy

  • Supabase — dane Aplikacji (baza danych i funkcja serwerowa) są przechowywane w regionie Frankfurt, w Unii Europejskiej. Stroną umowy powierzenia jest Supabase Pte. Ltd. z siedzibą w Singapurze, a dostęp do danych z państwa trzeciego (np. w ramach wsparcia technicznego lub przez podwykonawców) jest możliwy; dla Singapuru Komisja Europejska nie wydała decyzji stwierdzającej odpowiedni stopień ochrony, dlatego takie przekazanie odbywa się na podstawie standardowych klauzul umownych przyjętych przez Komisję (decyzja wykonawcza (UE) 2021/914, art. 46 ust. 2 lit. c RODO).
  • RevenueCat — RevenueCat, Inc. ma siedzibę w Stanach Zjednoczonych i przetwarza dane w USA. Według stanu na dzień wydania tej wersji polityki RevenueCat nie figuruje w wykazie uczestników programu EU-U.S. Data Privacy Framework, dlatego przekazanie odbywa się na podstawie standardowych klauzul umownych (decyzja wykonawcza (UE) 2021/914, art. 46 ust. 2 lit. c RODO) przewidzianych w umowie powierzenia przetwarzania danych RevenueCat.
  • Cloudflare — Cloudflare, Inc. ma siedzibę w Stanach Zjednoczonych i uczestniczy w programie EU-U.S. Data Privacy Framework, objętym decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony (decyzja wykonawcza (UE) 2023/1795, art. 45 RODO); umowa powierzenia przetwarzania danych Cloudflare przewiduje ponadto standardowe klauzule umowne dla przekazań nieobjętych tym programem.

Kopię stosowanych zabezpieczeń (standardowych klauzul umownych) można uzyskać, pisząc na adres kontakt@codedriven.pl.

8. Podstawy prawne przetwarzania

Dane opisane w punkcie 6 są przetwarzane na podstawie:

  • art. 6 ust. 1 lit. b) RODO — w zakresie niezbędnym do wykonania umowy o dostarczenie zakupionej treści cyfrowej (weryfikacja zakupu, wydanie treści Produktu),
  • art. 6 ust. 1 lit. c) RODO — w zakresie obowiązków wynikających z ustawy o prawach konsumenta przy odstąpieniu od umowy (potwierdzenie otrzymania oświadczenia, zwrot płatności) — punkt 4,
  • art. 6 ust. 1 lit. f) RODO — prawnie uzasadniony interes Sprzedawcy polegający na zapewnieniu bezpieczeństwa usługi, przeciwdziałaniu nadużyciom oraz utrzymaniu poprawnego działania infrastruktury (logi serwera, limity żądań, dostarczanie katalogu i zdjęć), a w przypadku korespondencji — na obsłudze zapytań i ustaleniu, dochodzeniu lub obronie roszczeń.

Przekazanie losowego identyfikatora instalacji i adresu IP jest warunkiem zakupu i pobrania treści — bez nich nie da się zweryfikować zakupu ani wydać Produktu. Pisanie do nas jest dobrowolne.

9. Okres przechowywania

  • Skróty kryptograficzne w limicie żądań (Supabase) — wpisy starsze niż 2 doby są przeznaczone do usunięcia i kasowane partiami przy okazji obsługi kolejnych żądań; zawierają wyłącznie skrót i licznik żądań.
  • Logi serwera Supabase (w tym adres IP) — przez okres retencji logów w planie usługi, nie dłużej niż 7 dni.
  • Logi Cloudflare — przez okres wynikający z warunków usługi Cloudflare, w zakresie niezbędnym do dostarczenia pliku i ochrony usługi.
  • Identyfikator instalacji i historia zakupów (RevenueCat) — przez okres, w którym udostępniamy treść zakupionych Produktów do pobrania i przywrócenia (§ 12 regulaminu), a następnie do czasu ich usunięcia przez Administratora; wcześniej — na żądanie Użytkownika (punkt 11), z zastrzeżeniem, że po usunięciu nie będzie można potwierdzić zakupu przy pobraniu treści.
  • Korespondencja, w tym oświadczenia o odstąpieniu od umowy i dane do zwrotu płatności — przez czas potrzebny do zakończenia sprawy, a następnie do upływu okresu przedawnienia ewentualnych roszczeń.

10. Brak profilowania i reklam

Aplikacja nie prowadzi profilowania Użytkowników, nie wyświetla reklam ani nie przekazuje danych o zachowaniu Użytkownika podmiotom trzecim w celach marketingowych. Administrator nie podejmuje wobec Użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, wywołujących skutki prawne lub w podobny sposób istotnie wpływających na Użytkownika (art. 22 RODO).

11. Prawa osoby, której dane dotyczą

Użytkownikowi przysługuje prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz wniesienia sprzeciwu wobec przetwarzania opartego na art. 6 ust. 1 lit. f) RODO. W celu skorzystania z tych praw można skontaktować się ze Sprzedawcą pod adresem kontakt@codedriven.pl.

Ponieważ Aplikacja nie ma kont użytkowników, Administrator sam nie jest w stanie powiązać losowego identyfikatora instalacji z konkretną osobą (art. 11 RODO). Aby skorzystać z praw w zakresie danych o zakupach, podaj w wiadomości numer zamówienia z dowodu zakupu Sklepu — pozwoli on odnaleźć odpowiadający mu identyfikator. Skrótów kryptograficznych z limitu żądań nie wiążemy z żadną osobą — po upływie 2 dób są usuwane (punkt 9).

12. Prawo wniesienia skargi

Użytkownikowi przysługuje prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ul. Stanisława Moniuszki 1A, 00-014 Warszawa, https://uodo.gov.pl — jeśli uzna, że przetwarzanie jego danych narusza przepisy RODO. Zgodnie z art. 77 RODO Użytkownik może wnieść skargę także do organu nadzorczego w państwie członkowskim swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia; listę organów nadzorczych państw członkowskich publikuje Europejska Rada Ochrony Danych: https://www.edpb.europa.eu/about-edpb/our-members_en.

13. Zmiany polityki prywatności

Sprzedawca może aktualizować niniejszą politykę prywatności, w szczególności w razie zmiany zakresu przetwarzanych danych, dostawców usług lub przepisów prawa. Aktualna wersja polityki jest zawsze dostępna w Ustawieniach Aplikacji. O zmianie polityki Użytkownicy zostaną poinformowani w taki sam sposób, jak o zmianie regulaminu (§ 10 regulaminu): poprzez aktualizację treści w Ustawieniach Aplikacji, informację w Aplikacji przy najbliższym uruchomieniu oraz publikację nowej wersji pod publicznym adresem URL, pod którym udostępniane są dokumenty prawne (https://codedriven.pl/realizacje/dietabis/polityka-prywatnosci/).