Polityka prywatności

1. Kto odpowiada za Twoje dane

Administratorem danych osobowych jest Olivier Babula, twórca Snugmeal, osoba fizyczna zamieszkała w Polsce. W każdej sprawie dotyczącej Twoich danych napisz na contact@snugmeal.com. Adres do korespondencji pocztowej udostępniamy niezwłocznie na żądanie zgłoszone na ten adres.

2. Czego dotyczy ta polityka

Strony snugmeal.com (waitlista, formularz kontaktowy, blog) oraz aplikacji mobilnej Snugmeal (konto, plany posiłków, lista zakupów).

3. Strona snugmeal.com

• Waitlista: adres e-mail, kraj oraz zapis zgody (data, wersja treści zgody, źródło zapisu) — na podstawie Twojej zgody (art. 6 ust. 1 lit. a RODO), z podwójnym potwierdzeniem zapisu (double opt-in, link ważny 48 godzin).
• Logi serwera: standardowe logi techniczne (adres IP, typ przeglądarki, czas żądania) — nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO): bezpieczeństwo i stabilność.
• Formularz kontaktowy: wiadomość wysyła Twoja przeglądarka na nasz serwer — nie otwiera się Twój program pocztowy. Trafiają do nas: adres e-mail, temat (opcjonalny) i treść wiadomości; przetwarzamy je, żeby odpowiedzieć (art. 6 ust. 1 lit. f RODO). Twój adres IP dociera przy tym do serwera w nagłówkach i służy wyłącznie do limitu antyspamowego oraz trafia do logów serwera (punkt wyżej) — nie zapisujemy go w bazie ani w treści wiadomości. Wysyłkę na naszą skrzynkę obsługuje Resend (§ 6), a Twój adres wędruje w pole „odpowiedz do”, żebyśmy mogli odpisać.

4. Aplikacja: konto i profil

• Konto zakładane e-mailem: e-mail, hasło (przechowywane wyłącznie jako skrót kryptograficzny), kody logowania 2FA — niezbędne do świadczenia usługi (art. 6 ust. 1 lit. b RODO).
• Konto zakładane przez Google: zamiast hasła możesz zalogować się kontem Google — wtedy hasła nie ma w ogóle. Z podpisanego tokenu, który wystawia Google, zapisujemy przy koncie: adres e-mail, nazwę wyświetlaną, adres URL zdjęcia profilowego, informację czy Google potwierdziło ten e-mail, oraz identyfikator Twojego konta Google, który wiąże je z kontem w Snugmeal (art. 6 ust. 1 lit. b RODO). Poza tymi danymi nie pobieramy niczego z Twojego konta Google — ani kontaktów, ani poczty, ani plików — nie przechowujemy tokenów dostępu do niego i nie znamy Twojego hasła Google.
• Profil żywieniowy: m.in. wiek, waga, wzrost, cel wagowy, poziom aktywności, dieta i alergie — dane te mogą ujawniać informacje o zdrowiu, dlatego przetwarzamy je wyłącznie na podstawie Twojej wyraźnej zgody (art. 9 ust. 2 lit. a RODO), udzielanej w aplikacji przed uzupełnieniem profilu. Bez tej zgody nie wygenerujemy planu — to jedyna funkcja, która jej wymaga.
• Plany, lista zakupów, odhaczenia: dane funkcjonalne konta (art. 6 ust. 1 lit. b RODO).

5. Skanowanie paragonów — funkcja planowana

Bieżąca wersja aplikacji nie ma funkcji skanowania paragonów — planujemy dodać ją w przyszłości. Zanim funkcja trafi do aplikacji, zaktualizujemy tę politykę o pełny opis przetwarzania (w tym podwykonawców i okresy przechowywania), a w aplikacji poprosimy Cię o osobną, dobrowolną zgodę (art. 6 ust. 1 lit. a RODO) — bez niej nic się nie wyśle.

Funkcja była krótko dostępna w wersjach testowych aplikacji (TestFlight). Jeżeli z niej wtedy skorzystałeś — za Twoją zgodą, którą możesz wycofać w ustawieniach: zdjęcie paragonu zostało automatycznie usunięte najpóźniej po 7 dniach (krótkotrwałe przechowanie: Cloudflare R2, bucket z jurysdykcją UE; odczyt: Google Vertex AI w regionie UE — obaj podwykonawcy na umowach powierzenia z SCC, certyfikowani w EU-U.S. Data Privacy Framework), a odczytane pozycje i kwoty pozostają przy Twoim koncie, dopóki ich nie usuniesz albo nie usuniesz konta. Ceny z Twoich paragonów nie trafiają do żadnej wspólnej bazy cen — z tej funkcji zrezygnowaliśmy. Starsze wersje testowe mogą do czasu aktualizacji nadal umożliwiać skanowanie na tych samych zasadach.

6. Komu przekazujemy dane (procesorzy)

Korzystamy z zaufanych podwykonawców na podstawie umów powierzenia (art. 28 RODO). Dane aplikacji są przetwarzane co do zasady w Unii Europejskiej:

• Railway — hosting API i bazy danych (region: Amsterdam, UE); umowa powierzenia ze standardowymi klauzulami umownymi (SCC).
• Resend — wysyłka e-maili transakcyjnych (kody logowania) oraz wiadomości z formularza kontaktowego na naszą skrzynkę; spółka z USA certyfikowana w EU-U.S. Data Privacy Framework — metadane wysyłki mogą być przetwarzane w USA.
• OVH — hosting strony snugmeal.com i skrzynka pocztowa (UE).

Google jako dostawca logowania to osobna sytuacja — nie powierzenie, lecz odrębny administrator. Jeśli wybierzesz „Zaloguj przez Google”, Google uwierzytelnia Cię na własnych zasadach (i dowiaduje się, że logujesz się do Snugmeal), a nam przekazuje podpisany token z danymi wymienionymi w § 4. W drugą stronę nie idzie nic: Google nie dostaje od nas Twojego profilu żywieniowego, planów ani listy zakupów. Ścieżka jest dobrowolna — konto założysz też samym e-mailem i hasłem.

Część podwykonawców to spółki amerykańskie — transfery zabezpieczamy standardowymi klauzulami umownymi (art. 46 ust. 2 lit. c RODO) oraz — tam, gdzie dostawca jest certyfikowany — EU-U.S. Data Privacy Framework. Nie sprzedajemy danych i nie udostępniamy ich nikomu poza przypadkami wymaganymi prawem.

7. Jak długo trzymamy dane

• Profil, plany, odhaczenia (oraz pozycje z paragonów zeskanowanych w wersjach testowych): przez czas istnienia konta; usunięcie konta kasuje je nieodwracalnie.
• Waitlista: do wycofania zgody, najpóźniej do zakończenia komunikacji o starcie aplikacji.
• Logi serwera: około 14 dni. Korespondencja: przez czas potrzebny do załatwienia sprawy.

8. Cookies i śledzenie

Strona nie używa cookies analitycznych ani reklamowych, nie korzysta z narzędzi typu Google Analytics czy Meta Pixel i nie profiluje użytkowników. Aplikacja nie zawiera reklam ani SDK reklamowych.

9. Twoje prawa

Masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii (w aplikacji: eksport danych),
• sprostowania, usunięcia lub ograniczenia przetwarzania,
• przenoszenia danych,
• wycofania każdej zgody w dowolnej chwili — w ustawieniach aplikacji, bez wpływu na zgodność z prawem wcześniejszego przetwarzania,
• sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie,
• skargi do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).

Konto usuniesz w aplikacji (Ja → ustawienia) — dane konta znikają nieodwracalnie. Nie podejmujemy wobec Ciebie zautomatyzowanych decyzji wywołujących skutki prawne (art. 22 RODO); plany posiłków generujemy wyłącznie na Twoje żądanie.

10. Zmiany tej polityki

Jeśli zakres przetwarzania się zmieni, zaktualizujemy ten dokument i datę na górze strony, a o istotnych zmianach poinformujemy w aplikacji.