Polityka Prywatności

1. Administrator danych

Administratorem Twoich danych osobowych jest Piotr Majkowski, prowadzący serwis TroveBites dostępny pod adresem trovebites.com.

Kontakt w sprawach prywatności: privacy@trovebites.com — odpowiadamy w ciągu 30 dni.

2. Jakie dane zbieram

Dane podawane przy rejestracji

• Adres email
• Nazwa użytkownika (nick)
• Hasło (przechowywane wyłącznie jako skrót kryptograficzny przez Firebase Auth) — niedotyczy rejestracji przez Google/Facebook (patrz niżej)
• Logowanie przez Google lub Facebook: rejestracja/logowanie możliwe jest również za pomocą konta Google lub Facebook (OAuth, obsługiwane przez Firebase Authentication). Od Google otrzymujemy imię/nazwę wyświetlaną i adres email. Od Facebooka otrzymujemy wyłącznie imię/nazwę wyświetlaną i zdjęcie profilowe (nie pytamy o adres email) — w obu przypadkach nigdy nie otrzymujemy hasła do tych kont.
• Zapis zgody: data i godzina akceptacji Polityki Prywatności oraz wersja dokumentu (dowód prawny wyrażenia zgody)

Dane podawane dobrowolnie

• Miasto i preferencje kulinarne
• Oceny restauracji, komentarze, zdjęcia, tagi
• Listy miejsc i ich zawartość
• Bites (wideo): krótkie nagrania wideo z wizyt w restauracjach — mogą zawierać wizerunek autora i osób trzecich przebywających w miejscu publicznym (patrz punkt 3a)

Dane zbierane automatycznie

• Adres IP (logi Netlify/Firebase — retencja do 90 dni)
• Rodzaj przeglądarki i systemu operacyjnego
• Dane sesji (Firebase Authentication)
• Dane lokalizacyjne (wyłącznie za osobną zgodą, do wyszukiwania restauracji — nieprzechowywane)
• Token urządzenia (powiadomienia push): jeśli włączysz powiadomienia, przechowujemy techniczny identyfikator urządzenia (Firebase Cloud Messaging) służący wyłącznie do dostarczania powiadomień — usuwany przy wyłączeniu powiadomień lub usunięciu konta

3. Cel i podstawa prawna przetwarzania

Cel	Podstawa prawna (RODO)
Świadczenie usług aplikacji TroveBites	Art. 6 ust. 1 lit. b — wykonanie umowy
Zarządzanie kontem użytkownika	Art. 6 ust. 1 lit. b — wykonanie umowy
Dopasowanie algorytmu gustów	Art. 6 ust. 1 lit. a — zgoda
Analiza wideo AI (Bites)	Art. 6 ust. 1 lit. a — zgoda wyrażona przy rejestracji
Agregacja ocen restauracji i podsumowania AI	Art. 6 ust. 1 lit. f — uzasadniony interes (zanonimizowane dane, patrz pkt 3b)
Bezpieczeństwo i zapobieganie nadużyciom	Art. 6 ust. 1 lit. f — uzasadniony interes
Spełnienie obowiązków prawnych	Art. 6 ust. 1 lit. c — obowiązek prawny

3a. Bites — wideo i wizerunek

• Nagranie pochodzi z miejsca publicznego (restauracja, kawiarnia, bar)
• Osoby widoczne w nagraniu przebywały dobrowolnie w miejscu publicznym — ich wizerunek jest przetwarzany na podstawie art. 6 ust. 1 lit. f RODO (uzasadniony interes — dokumentacja miejsca publicznego)
• Nie nagrywasz osób małoletnich ani sytuacji prywatnych
• Posiadasz zgodę na nagranie jeśli filmowane osoby są rozpoznawalne i to nie jest incydentalny zapis tła

Nagrania są przechowywane w Firebase Storage (Google LLC, USA) i usuwane wraz z usunięciem konta lub na żądanie. Analiza treści wideo przez AI (Anthropic Claude) służy wyłącznie weryfikacji czy nagranie przedstawia restaurację — żadne dane biometryczne nie są przechowywane.

3b. Agregacja ocen restauracji i podsumowania AI

• Liczby (suwaki ocen 0–10) są uśredniane dla każdej restauracji niezależnie od ustawienia widoczności Twojego profilu
• Gdy restauracja ma co najmniej 2 oceny, treść notatek/felietonów (bez identyfikatora użytkownika, imienia czy innych danych pozwalających na identyfikację) jest przesyłana do Anthropic Claude w celu wygenerowania jednego, zbiorczego podsumowania opinii
• Ustawienie widoczności ocen („Publiczne" / „Tylko foodies" / „Prywatne") nie wyklucza Twojej oceny z tej zbiorczej agregacji — wpływa wyłącznie na to, czy inny Użytkownik może zobaczyć Twoją ocenę przypisaną do Twojego profilu (patrz pkt 7 Regulaminu / ustawienia widoczności w aplikacji)
• Wynikowe podsumowanie i uśrednione wartości nie zawierają żadnych danych pozwalających zidentyfikować autorów poszczególnych ocen

4. Udostępnianie danych

Twoje dane mogą być przekazywane wyłącznie:

• Google LLC (Firebase) — infrastruktura uwierzytelniania (w tym logowanie przez konto Google), bazy danych (Firestore), przechowywania plików (Storage). Google działa jako podmiot przetwarzający. Dane mogą być przetwarzane w USA — Google posiada certyfikat EU-US Data Privacy Framework.
• Meta Platforms, Inc. (Facebook Login) — wyłącznie jako opcjonalny dostawca logowania (OAuth) — przekazuje nam podstawowe dane profilu (imię/nazwa, zdjęcie profilowe) jeśli wybierzesz logowanie przez Facebook. Meta posiada certyfikat EU-US Data Privacy Framework.
• Netlify, Inc. — hosting aplikacji. Logi do 30 dni.
• Google Maps Platform — wyszukiwanie restauracji. Zapytania nie zawierają danych osobowych.
• Anthropic, PBC — (a) analiza wideo AI (Bites) — klatki z wideo przesyłane wyłącznie w celu weryfikacji treści; (b) generowanie zanonimizowanych, zbiorczych podsumowań ocen restauracji na podstawie tekstu ocen wielu Użytkowników (patrz pkt 3b). W obu przypadkach Anthropic nie przechowuje przesłanych danych zgodnie z polityką Zero Data Retention dla API.

Nie sprzedajemy, nie wynajmujemy ani nie udostępniamy danych podmiotom trzecim w celach marketingowych.

5. Przekazywanie danych poza EOG

Dane mogą być przetwarzane przez Google LLC, Meta Platforms, Inc. i Anthropic PBC (USA) na podstawie standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską oraz certyfikatu Data Privacy Framework (EU-US DPF).

6. Okres przechowywania danych

• Dane konta — do momentu usunięcia konta
• Oceny, listy, Bites — do usunięcia przez użytkownika lub usunięcia konta
• Zapis zgody (dowód prawny) — 3 lata od usunięcia konta (obowiązek prawny)
• Logi techniczne — do 90 dni
• Kopie zapasowe — do 30 dni po usunięciu danych

7. Twoje prawa

Zgodnie z RODO przysługują Ci:

• Prawo dostępu — kopia Twoich danych
• Prawo do sprostowania — poprawienie nieprawidłowych danych
• Prawo do usunięcia — "prawo do bycia zapomnianym" — realizowane w ciągu 30 dni od żądania, również w aplikacji (Ustawienia → Usuń konto)
• Prawo do ograniczenia przetwarzania
• Prawo do przenoszenia danych
• Prawo sprzeciwu — wobec przetwarzania opartego na uzasadnionym interesie
• Prawo do cofnięcia zgody — w każdej chwili, bez wpływu na wcześniejsze przetwarzanie

Aby skorzystać z praw: privacy@trovebites.com. Masz również prawo złożyć skargę do organu nadzorczego — w Polsce: Urząd Ochrony Danych Osobowych (UODO), ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

8. Bezpieczeństwo danych

• Połączenia szyfrowane przez HTTPS (TLS 1.2+)
• Hasła jako skróty kryptograficzne (Firebase Auth)
• Dostęp ograniczony regułami Firebase Security Rules
• Nagłówki bezpieczeństwa: HSTS, X-Frame-Options, Content-Security-Policy

9. Dane dzieci

TroveBites nie jest przeznaczony dla osób poniżej 16. roku życia. Nie zbieramy świadomie danych od dzieci. Jeśli dowiesz się, że dziecko przekazało nam dane, skontaktuj się z nami natychmiast.

10. Zmiany polityki

O istotnych zmianach poinformujemy przez aplikację lub email z 14-dniowym wyprzedzeniem. Zmiany wymagające ponownej zgody będą wymagały jej aktywnego potwierdzenia — nie działamy na zasadzie "milczącej akceptacji".