Polityka Prywatności

1. Administrator danych

Administratorem Twoich danych osobowych jest Piotr Majkowski, prowadzący serwis TroveBites dostępny pod adresem trovebites.com.

Kontakt w sprawach prywatności: privacy@trovebites.com — odpowiadamy w ciągu 30 dni.

2. Jakie dane zbieram

Dane podawane przy rejestracji

• Adres email
• Nazwa użytkownika (nick)
• Hasło (przechowywane wyłącznie jako skrót kryptograficzny przez Firebase Auth)
• Zapis zgody: data i godzina akceptacji Polityki Prywatności oraz wersja dokumentu (dowód prawny wyrażenia zgody)

Dane podawane dobrowolnie

• Miasto i preferencje kulinarne
• Oceny restauracji, komentarze, zdjęcia, tagi
• Listy miejsc i ich zawartość
• Zajawki (wideo): krótkie nagrania wideo z wizyt w restauracjach — mogą zawierać wizerunek autora i osób trzecich przebywających w miejscu publicznym (patrz punkt 3a)
• Dane kontaktowe do płatności P2P (funkcja Wypadów): tag Revolut, tag Wise, numer telefonu do BLIK — podawane dobrowolnie w kontekście konkretnego rachunku w Wypadzie. Dane te są przechowywane wyłącznie w dokumencie Wypadu w Firestore i widoczne jedynie dla Uczestników tego Wypadu. Nie są przypisane do profilu Użytkownika ani udostępniane poza grupą Wypadu. TroveBites nie przetwarza żadnych transakcji finansowych — jest wyłącznie kalkulatorem rozliczeń
• Linki zaproszenia na Wypad — gdy Organizator generuje link zaproszenia, w bazie Firestore tworzony jest rekord zawierający: identyfikator Wypadu, imię Organizatora, nazwę restauracji, datę i godzinę. Rekord ten jest dostępny publicznie (bez logowania) przez 30 dni, po czym wygasa. Osoby otwierające link nie są identyfikowane — dopiero po zalogowaniu do TroveBites ich dane są powiązane z Wypadem
• Udostępnianie list miejsc — publiczne listy Użytkownika są synchronizowane do globalnej kolekcji bazy Firestore i dostępne publicznie pod adresem URL linku do listy. Zawierają: nazwę listy, opis, nick Użytkownika oraz nazwy i adresy miejsc na liście. Użytkownik może w każdej chwili zmienić status listy na prywatny, co usuwa ją z dostępu publicznego

Dane zbierane automatycznie

• Adres IP (logi Netlify/Firebase — retencja do 90 dni)
• Rodzaj przeglądarki i systemu operacyjnego
• Dane sesji (Firebase Authentication)
• Dane lokalizacyjne (wyłącznie za osobną zgodą, do wyszukiwania restauracji — nieprzechowywane)

3. Cel i podstawa prawna przetwarzania

Cel	Podstawa prawna (RODO)
Świadczenie usług aplikacji TroveBites	Art. 6 ust. 1 lit. b — wykonanie umowy
Zarządzanie kontem użytkownika	Art. 6 ust. 1 lit. b — wykonanie umowy
Dopasowanie algorytmu gustów	Art. 6 ust. 1 lit. a — zgoda
Analiza wideo AI (Zajawki)	Art. 6 ust. 1 lit. a — zgoda wyrażona przy rejestracji
Dane kontaktowe do płatności P2P w Wypadach (Revolut/BLIK/Wise)	Art. 6 ust. 1 lit. a — zgoda wyrażona przez dobrowolne wpisanie danych w rachunku
Generowanie i przechowywanie linków zaproszenia na Wypad	Art. 6 ust. 1 lit. b — wykonanie umowy (funkcja Wypadów)
Publiczne udostępnianie list miejsc przez link	Art. 6 ust. 1 lit. a — zgoda wyrażona przez ustawienie statusu listy jako publiczna
Skan paragonu AI (rozpoznawanie pozycji rachunku)	Art. 6 ust. 1 lit. a — zgoda wyrażona przez zainicjowanie skanu
Bezpieczeństwo i zapobieganie nadużyciom	Art. 6 ust. 1 lit. f — uzasadniony interes
Spełnienie obowiązków prawnych	Art. 6 ust. 1 lit. c — obowiązek prawny

3a. Zajawki — wideo i wizerunek

• Nagranie pochodzi z miejsca publicznego (restauracja, kawiarnia, bar)
• Osoby widoczne w nagraniu przebywały dobrowolnie w miejscu publicznym — ich wizerunek jest przetwarzany na podstawie art. 6 ust. 1 lit. f RODO (uzasadniony interes — dokumentacja miejsca publicznego)
• Nie nagrywasz osób małoletnich ani sytuacji prywatnych
• Posiadasz zgodę na nagranie jeśli filmowane osoby są rozpoznawalne i to nie jest incydentalny zapis tła

Nagrania są przechowywane w Firebase Storage (Google LLC, USA) i usuwane wraz z usunięciem konta lub na żądanie. Analiza treści wideo przez AI (Anthropic Claude) służy wyłącznie weryfikacji czy nagranie przedstawia restaurację — żadne dane biometryczne nie są przechowywane.

4. Udostępnianie danych

Twoje dane mogą być przekazywane wyłącznie:

• Google LLC (Firebase) — infrastruktura uwierzytelniania, bazy danych (Firestore), przechowywania plików (Storage). Google działa jako podmiot przetwarzający. Dane mogą być przetwarzane w USA — Google posiada certyfikat EU-US Data Privacy Framework.
• Netlify, Inc. — hosting aplikacji. Logi do 30 dni.
• Google Maps Platform — wyszukiwanie restauracji. Zapytania nie zawierają danych osobowych.
• Anthropic, PBC — analiza wideo AI (Zajawki). Klatki z wideo są przesyłane do API wyłącznie w celu weryfikacji treści. Anthropic nie przechowuje tych danych zgodnie z polityką Zero Data Retention dla API.

Nie sprzedajemy, nie wynajmujemy ani nie udostępniamy danych podmiotom trzecim w celach marketingowych.

5. Przekazywanie danych poza EOG

Dane mogą być przetwarzane przez Google LLC i Anthropic PBC (USA) na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską oraz certyfikatu Data Privacy Framework (EU-US DPF).

6. Okres przechowywania danych

• Dane konta — do momentu usunięcia konta
• Oceny, listy, zajawki — do usunięcia przez użytkownika lub usunięcia konta
• Zapis zgody (dowód prawny) — 3 lata od usunięcia konta (obowiązek prawny)
• Logi techniczne — do 90 dni
• Kopie zapasowe — do 30 dni po usunięciu danych

7. Twoje prawa

Zgodnie z RODO przysługują Ci:

• Prawo dostępu — kopia Twoich danych
• Prawo do sprostowania — poprawienie nieprawidłowych danych
• Prawo do usunięcia — "prawo do bycia zapomnianym" — realizowane w ciągu 30 dni od żądania, również w aplikacji (Ustawienia → Usuń konto)
• Prawo do ograniczenia przetwarzania
• Prawo do przenoszenia danych
• Prawo sprzeciwu — wobec przetwarzania opartego na uzasadnionym interesie
• Prawo do cofnięcia zgody — w każdej chwili, bez wpływu na wcześniejsze przetwarzanie

Aby skorzystać z praw: privacy@trovebites.com. Masz również prawo złożyć skargę do organu nadzorczego — w Polsce: Urząd Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

8. Bezpieczeństwo danych

• Połączenia szyfrowane przez HTTPS (TLS 1.2+)
• Hasła jako skróty kryptograficzne (Firebase Auth)
• Dostęp ograniczony regułami Firebase Security Rules
• Nagłówki bezpieczeństwa: HSTS, X-Frame-Options, Content-Security-Policy

9. Dane dzieci

TroveBites nie jest przeznaczony dla osób poniżej 16. roku życia. Nie zbieramy świadomie danych od dzieci. Jeśli dowiesz się, że dziecko przekazało nam dane, skontaktuj się z nami natychmiast.

10. Zmiany polityki

O istotnych zmianach poinformujemy przez aplikację lub email z 14-dniowym wyprzedzeniem. Zmiany wymagające ponownej zgody będą wymagały jej aktywnego potwierdzenia — nie działamy na zasadzie "milczącej akceptacji".