Dokumenty

Administratorem Twoich danych osobowych jest Kamil Kuźma. Kontakt w sprawach danych: kontakt@medszafka.pl. MedSzafka (dalej „Aplikacja”) to narzędzie do prowadzenia domowej apteczki.

Nie wyznaczyliśmy inspektora ochrony danych: nie jesteśmy organem publicznym, nie monitorujemy osób systematycznie na dużą skalę, a przetwarzanie danych o zdrowiu nie jest działalnością organizacji, lecz funkcją, którą Ty uruchamiasz dla siebie. W każdej sprawie dotyczącej danych pisz bezpośrednio na adres powyżej.

Tyle, ile potrzebuje Twoja apteczka, żeby działać:

• Dane konta: imię i nazwisko (lub to, co wpiszesz), adres e-mail, hasło w postaci skrótu, a dla każdego zalogowanego urządzenia jego nazwę, adres IP i datę ostatniego użycia.
• Dane o zdrowiu: nazwy leków, ilości, terminy ważności, historia zażyć, plany dawkowania i kuracje, dziennik objawów; a jeśli je wpiszesz — imiona domowników oraz ich uczulenia, choroby, masę ciała, datę urodzenia i grupę krwi.
• Dane techniczne: adres IP, typ urządzenia i przeglądarki, identyfikator do powiadomień push, raporty o błędach Aplikacji.
• Dane rozliczeniowe — tylko gdy plany płatne są włączone: identyfikator klienta i subskrypcji w Stripe, status planu, typ karty i jej cztery ostatnie cyfry. Numeru karty nie przechowujemy; wpisujesz go na stronie Stripe.
• Statystyki korzystania, bez powiązania z kontem: który ekran został otwarty (np. „szczegóły leku” — nigdy który lek ani co wpisano w wyszukiwarkę), z jakiej strony ktoś do nas przyszedł, czy wykonano krok taki jak założenie konta albo dodanie leku, typ urządzenia i przeglądarki oraz kraj i miasto ustalone z adresu IP. Liczymy je na naszym serwerze programem Umami. Adresu IP nie zapisujemy — tylko jednokierunkowy skrót, zmieniany co miesiąc, który pozwala policzyć wizyty.
• Zgłoszenia błędów w danych leku: treść zgłoszenia, którego leku dotyczy i kiedy je wysłano, przypisane do konta, z którego wyszło.

Nie zbieramy danych z innych źródeł. Wszystko, co wiemy o lekach w Twojej apteczce, pochodzi od Ciebie albo z kodu kreskowego, który zeskanujesz.

Twoje dane służą do tego, żeby:

• Prowadzić Twoją apteczkę: zapisać, co masz, i pokazać, co się kończy albo traci ważność.
• Przypominać o dawkach i o terminach ważności — powiadomieniem push i e-mailem, jeśli je włączysz.
• Rozpoznać lek po kodzie EAN i odpowiedzieć na pytanie zadane asystentowi.
• Chronić konto: rozpoznać nadużycie, ograniczyć liczbę prób logowania, naprawić błąd, który wystąpił u Ciebie.
• Rozliczyć plan płatny — wystawić fakturę i utrzymać subskrypcję — gdy plany są włączone.
• Poprawiać Aplikację: ze statystyk korzystania widzimy, ile osób kończy zakładanie konta, których ekranów nikt nie otwiera i gdzie ludzie się zatrzymują.
• Pilnować kosztów asystenta i rozpoznawania leków: liczyć, ile w każdym gospodarstwie kosztują zapytania do modeli AI, żeby ustalać uczciwe limity i ceny planów i zauważyć nadużycie.
• Poprawiać katalog leków na podstawie zgłoszeń błędów i liczyć zbiorcze statystyki z danych kont (np. ile jest kont i ile z nich korzystało z Aplikacji w ostatnim tygodniu), które nie wskazują nikogo.

Dla każdego celu jest osobna podstawa prawna:

• Prowadzenie konta i apteczki: wykonanie umowy, którą zawierasz, akceptując regulamin (art. 6 ust. 1 lit. b RODO).
• Dane o zdrowiu — leki, dawki, historia, objawy, profile domowników: Twoja wyraźna zgoda, wyrażona przy rejestracji osobnym oświadczeniem (art. 9 ust. 2 lit. a RODO). Bez niej Aplikacja nie może działać, bo apteczka jest zbiorem takich danych.
• Powiadomienia push i asystent AI: Twoja zgoda, osobna dla każdego z nich, włączana i cofana w Aplikacji (art. 6 ust. 1 lit. a RODO).
• Logi bezpieczeństwa i raporty o błędach: nasz prawnie uzasadniony interes, jakim jest utrzymanie konta w bezpieczeństwie i Aplikacji w działaniu (art. 6 ust. 1 lit. f RODO). Możesz wnieść sprzeciw — patrz punkt 8.
• Faktury i dokumenty rozliczeniowe, gdy plany są włączone: obowiązek prawny wynikający z przepisów podatkowych (art. 6 ust. 1 lit. c RODO).
• Statystyki korzystania: nasz prawnie uzasadniony interes, jakim jest ulepszanie Aplikacji (art. 6 ust. 1 lit. f RODO). Wyłączysz je sam w „Prywatność i dane” przełącznikiem „Wysyłaj statystyki z tego urządzenia”; przeglądarka z włączonym sygnałem Global Privacy Control albo Do Not Track nie wysyła ich wcale.
• Koszty zapytań do modeli AI liczone na gospodarstwo: nasz prawnie uzasadniony interes, jakim jest utrzymanie asystenta w granicach kosztów, ustalanie limitów i cen planów oraz wychwytywanie nadużyć (art. 6 ust. 1 lit. f RODO). Zapisujemy tylko liczby — ile zapytań, ile tokenów i ile to kosztowało w miesiącu — nigdy treść. Możesz wnieść sprzeciw — patrz punkt 8.
• Zgłoszenia błędów i zbiorcze statystyki z danych kont: nasz prawnie uzasadniony interes, jakim jest poprawność katalogu leków i zarządzanie usługą (art. 6 ust. 1 lit. f RODO).

Nikomu nie sprzedajemy Twoich danych i nie pokazujemy reklam. Korzystamy z dostawców, którzy przetwarzają dane wyłącznie na nasze polecenie:

• OVH (Francja, EOG): serwery Aplikacji, baza danych i kopie zapasowe.
• OpenAI (USA, poza EOG): asystent i rozpoznawanie leku po kodzie EAN.
• Google — Firebase Cloud Messaging (UE, EOG): doręczanie powiadomień push.
• Resend (USA, poza EOG): wysyłka wiadomości e-mail z Aplikacji.
• Sentry (USA, poza EOG): zbieranie raportów o błędach Aplikacji.
• Stripe (USA, poza EOG): płatności i faktury — tylko gdy plany płatne są włączone.

Aktualną listę z rolą i lokalizacją każdego dostawcy znajdziesz w Aplikacji w sekcji „Twoje dane”. Poza tą listą dane mogą trafić wyłącznie do organu, który zażąda ich na podstawie prawa.

Czterech dostawców działa w Stanach Zjednoczonych. Każdy dostaje tylko to, czego potrzebuje do swojej roli:

• OpenAI otrzymuje treść Twojego pytania, kilka poprzednich wymian tej rozmowy oraz nazwy, stany, terminy ważności i fragmenty ulotek leków z apteczki Twojego gospodarstwa. Nie otrzymuje imion — ani Twojego, ani domowników. Według warunków API OpenAI dane przesłane przez API nie służą do trenowania modeli.
• Resend otrzymuje Twój adres e-mail, imię i treść wiadomości, którą wysyłamy (przypomnienie, link do potwierdzenia, zaproszenie).
• Sentry otrzymuje raport o błędzie: jaki ekran, jaka przeglądarka, jaki błąd. Treść pól formularzy i wpisów jest maskowana, zanim raport opuści Twoje urządzenie.
• Stripe otrzymuje dane potrzebne do płatności i faktury — wyłącznie gdy plany płatne są włączone.

Podstawą przekazania są standardowe klauzule umowne przyjęte przez Komisję Europejską (art. 46 ust. 2 lit. c RODO) lub certyfikacja dostawcy w ramach EU-US Data Privacy Framework (art. 45 RODO). Które narzędzie dotyczy którego dostawcy, sprawdzisz w sekcji „Twoje dane” — do czasu potwierdzenia umów z każdym z nich lista jest tam oznaczona jako niezweryfikowana. Kopię klauzul udostępnimy na życzenie.

Tak długo, jak istnieje konto, chyba że poniżej podano krócej:

• Dane konta i dane o zdrowiu: do usunięcia konta.
• Adres IP, urządzenie i adres strony przy wpisach w historii aktywności: 12 miesięcy, potem są usuwane z wpisu. Sam wpis — kto podał dawkę i kiedy — 24 miesiące, potem jest usuwany.
• Sesje urządzeń: do wylogowania albo 30 dni od ostatniego użycia dla zapamiętanego urządzenia; 2 godziny dla niezapamiętanego.
• Logi Aplikacji na serwerze: 14 dni.
• Raporty o błędach w Sentry: 90 dni.
• Kopia Twoich danych, o którą poprosisz: 48 godzin, potem plik jest usuwany.
• Konto po zleceniu usunięcia: 30 dni, w których możesz je odzyskać, logując się. Po tym terminie dane są usuwane bezpowrotnie.
• Rejestr zgód: do usunięcia konta — musimy móc wykazać, na co i kiedy się zgodziłeś lub zgodziłaś, a także kiedy zgoda została cofnięta.
• Dane rozliczeniowe, gdy plany są włączone: tak długo, jak wymagają przepisy podatkowe, także po usunięciu konta.
• Statystyki korzystania: 24 miesiące, potem są usuwane.
• Koszty zapytań do modeli AI: miesięczne sumy przypisane do gospodarstwa — do usunięcia konta; potem zostają tylko w sumach, których nie da się przypisać nikomu.
• Zgłoszenia błędów w danych leku: do ich załatwienia i 12 miesięcy po nim; usunięcie konta usuwa też jego zgłoszenia.

Usunięcie konta kasuje apteczkę, historię zażyć, kuracje, dziennik objawów i profile domowników, których jesteś właścicielem. Wcześniej możesz pobrać kopię danych.

Na podstawie RODO masz prawo:

• Dostępu do danych i otrzymania ich kopii (art. 15) — w Aplikacji: „Twoje dane” „Pobierz swoje dane”.
• Sprostowania danych (art. 16) — każdy wpis w apteczce, profil i imię zmienisz sam.
• Usunięcia danych (art. 17) — usuń konto w sekcji „Twoje dane”; 30 dni później dane znikają bezpowrotnie.
• Ograniczenia przetwarzania (art. 18) — napisz do nas; na czas wyjaśnienia zatrzymamy przetwarzanie poza przechowywaniem.
• Przenoszenia danych (art. 20) — kopia, którą pobierasz, jest w formacie JSON, czytelnym maszynowo.
• Sprzeciwu wobec przetwarzania opartego na naszym uzasadnionym interesie (art. 21) — napisz do nas; rozpatrzymy go, chyba że istnieją nadrzędne podstawy, na przykład ochrona konta przed nadużyciem. Sprzeciw wobec statystyk korzystania zgłaszasz sam, wyłączając je w „Prywatność i dane”.
• Cofnięcia każdej zgody w dowolnym momencie (art. 7 ust. 3) — w Aplikacji: „Twoje dane” „Zgody”. Cofnięcie nie wpływa na zgodność przetwarzania sprzed cofnięcia.
• Wniesienia skargi do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

Na wniosek odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

Apteczka jest wspólna, więc wpisujesz do niej dane innych osób: imię dziecka, dawki rodzica, uczulenia partnera. Robisz to jako osoba, która się nimi opiekuje lub prowadzi wspólne gospodarstwo.

Powiedz domownikom, że ich dane są w Aplikacji i gdzie mogą przeczytać tę politykę. Każdy z nich może poprosić Ciebie albo nas o wgląd, poprawienie lub usunięcie swoich danych. Domownik, który ma własne konto, zarządza swoimi danymi sam; osobie bez konta odpowiadasz Ty jako właściciel apteczki. Profil dziecka prowadzi dorosły.

Konto może założyć osoba, która ukończyła 16 lat (art. 8 RODO i polski próg wieku). Przy rejestracji potwierdzasz to osobnym oświadczeniem; młodsze osoby nie mogą założyć konta. Dane dziecka mogą znaleźć się w Aplikacji tylko jako profil prowadzony przez dorosłego opiekuna.

Asystent odpowiada na pytania o leki z apteczki Twojego gospodarstwa, cytując ich ulotki. Działa tylko po Twojej zgodzie. Gdy zadajesz pytanie, do OpenAI trafia jego treść, kilka ostatnich wymian tej rozmowy oraz lista leków z apteczki — do 60 — z nazwami, substancjami czynnymi, informacją, czy są na receptę, stanami, terminami ważności i fragmentami ulotek. Bez imion — ani Twojego, ani domowników. Odpowiedź jest oznaczona jako wygenerowana przez model.

Sama rozmowa nie jest przechowywana na naszym serwerze. Zostaje w Twojej przeglądarce (w jej pamięci lokalnej) i znika, gdy ją wyczyścisz, wylogujesz się albo klikniesz „Nowa rozmowa”. Na serwerze liczymy, ile pytań zadano w miesiącu — bo darmowy plan ma ich limit — i ile w miesiącu kosztowały zapytania do modeli AI (liczba zapytań, tokenów i koszt), oraz zapisujemy, która wersja instrukcji asystenta udzieliła odpowiedzi. Treści pytań i odpowiedzi nie zapisujemy.

Asystent nie stawia diagnoz, nie zaleca leków na receptę i przy objawach alarmowych kieruje do lekarza. MedSzafka nie jest wyrobem medycznym.

Aplikacja przechowuje w pamięci przeglądarki (localStorage i IndexedDB) na Twoim urządzeniu: token sesji, kopię ekranów, które ostatnio oglądałeś lub oglądałaś (żeby otwierały się od razu i działały bez sieci), rozmowę z asystentem oraz ustawienia wyglądu. Ta pamięć jest przypisana do Twojego konta i nie jest udostępniana nikomu; wylogowanie ją czyści. Nie używamy plików cookie ani innych identyfikatorów do śledzenia — jedyne ciasteczko mówi przeglądarce, że jest zalogowana, i nie zawiera żadnych danych. Statystyki korzystania nie zapisują niczego na Twoim urządzeniu; jeśli je wyłączysz, przeglądarka zapamięta tylko to wyłączenie.

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na automatycznym przetwarzaniu, które wywoływałyby skutki prawne lub podobnie istotnie na Ciebie wpływały (art. 22 RODO). Aplikacja liczy daty i ilości, a asystent odpowiada na pytania; żadne z nich nie decyduje o Tobie ani o Twoim leczeniu.

Hasła przechowujemy wyłącznie w postaci skrótu (bcrypt). Cała komunikacja jest szyfrowana (TLS). Każde zalogowane urządzenie ma własną sesję, którą możesz odłączyć w Aplikacji. Kopie zapasowe są szyfrowane. Serwery stoją w Unii Europejskiej. Liczba prób logowania i zapytań jest ograniczona. Dostęp do serwera ma wyłącznie administrator, a wszystkie zmiany w Aplikacji przechodzą przez automatyczne testy. Opis środków technicznych i organizacyjnych prowadzimy w dokumentacji wewnętrznej i udostępniamy organowi nadzorczemu na żądanie.

Dostęp administracyjny do serwisu wymaga dwuetapowego logowania przy każdym wejściu, odbywa się przez prywatną, szyfrowaną sieć i jest rejestrowany.

Polityka ma numer wersji i datę obowiązywania — oba widzisz u góry tego ekranu. Gdy zmienimy treść, podnosimy wersję, a Aplikacja przy następnym wejściu poprosi o ponowne zapoznanie się z dokumentami i ich akceptację. W rejestrze zgód zostaje zapisane, którą wersję i kiedy zaakceptowałeś lub zaakceptowałaś.