Polityka prywatności

Wersja polska jest wiążąca. Ostatnia aktualizacja: 19.10.2026

1. Administrator danych

Administratorem Twoich danych osobowych jest Bartłomiej Walczak (dalej „Administrator"), kontakt: administrator@limnolog.com.

2. Cel i podstawa prawna

Przetwarzamy Twoje dane w celu:

• świadczenia usługi LimnoLog (wpisywanie pomiarów, zarządzanie projektami badawczymi) - podstawa: umowa (art. 6 ust. 1 lit. b RODO)
• powiadomień email i push o aktywności (zgłoszenia, alerty progowe, przypomnienia, raporty) - podstawa: uzasadniony interes (art. 6 ust. 1 lit. f RODO); e-maile możesz wyłączyć w Ustawieniach, powiadomienia push są wyłącznie opt-in
• audytu wpisów w celu zachowania integralności danych badawczych - podstawa: uzasadniony interes
• kopii zapasowych (ochrona przed utratą danych) - podstawa: uzasadniony interes
• analityki produktowej bez cookies i monitoringu błędów (rozwój i stabilność usługi) - podstawa: uzasadniony interes

3. Jakie dane przetwarzamy

• Konto: adres email, imię i nazwisko, hash hasła. Przy logowaniu przez Google lub Microsoft otrzymujemy od dostawcy logowania Twój adres email i imię (nie otrzymujemy Twojego hasła do tych usług).
• Profil: preferowany język interfejsu, ustawienia powiadomień oraz techniczny stan dostarczalności Twojego adresu (np. informacja, że skrzynka odrzuca nasze maile - żebyśmy przestali wysyłać)
• Aktywność: wpisy pomiarów, sesje, komentarze, zgłoszenia
• Zdjęcia (opcjonalnie): zdjęcia sesji pomiarowych i stacji dodawane przez Ciebie. Metadane zdjęcia (EXIF, w tym lokalizacja GPS) są usuwane przy dodawaniu; zachowujemy jedynie datę i godzinę wykonania zdjęcia (do ułożenia zdjęć w kolejności i w raporcie). Zapis współrzędnych zdjęcia to osobna, wyraźna zgoda (opt-in) - wtedy zapisujemy też, czy współrzędne pochodzą z pliku, czy z pozycji urządzenia. Zalecenie: nie fotografuj osób ani obiektów pozwalających zidentyfikować osoby trzecie - zdjęcia mają dokumentować stanowisko badawcze. Pobierane zdjęcie to zapisana w serwisie kopia (zmniejszona do najwyżej 2048 px na dłuższym boku, bez metadanych EXIF) - nie plik w pierwotnej rozdzielczości. Zdjęcie zrobione aparatem w aplikacji nie jest zapisywane w galerii telefonu, więc jeśli potrzebujesz pełnej rozdzielczości, zrób zdjęcie zwykłym aparatem i dodaj je z galerii.
• Powiadomienia push (opt-in): po Twoim włączeniu powiadomień przechowujemy identyfikator (endpoint) Twojego urządzenia/przeglądarki i klucze szyfrujące doręczenia; usuwamy je przy wyłączeniu powiadomień i przy usunięciu konta
• Telemetria niezawodności: techniczne liczniki synchronizacji offline (ile wpisów się zsynchronizowało, czasy trwania, skrócone komunikaty błędów) - bez treści pomiarów
• Audyt: data i autor każdej zmiany pomiaru (activity_log)
• Lokalizacja (opcjonalnie, na żądanie): przy użyciu przycisku „Użyj mojej lokalizacji" odczytujemy współrzędne GPS urządzenia i zapisujemy je jako lokalizację stacji pomiarowej (dane projektu, nie profil użytkownika) - wyłącznie po Twoim kliknięciu, nigdy w tle
• Techniczne: typ przeglądarki, rozdzielczość ekranu (w polach kontekstu zgłoszeń)

Publiczne dashboardy: administrator projektu (właściciel albo inny administrator) może świadomie upublicznić wybrane dane pomiarowe projektu pod publicznym linkiem. Publikowane są wybrane wykresy, nazwa i opis projektu oraz stacje pomiarowe z nazwami i położeniem - przy nowym dashboardzie położenie jest domyślnie zaokrąglone do ok. 1 km, a administrator może to wyłączyć i pokazać dokładne współrzędne. Stacje kontrolne (wzorce kontroli jakości) nie są publikowane. Nie są publikowane dane osobowe autorów wpisów (imiona, komentarze). Upublicznienie to decyzja administratora projektu, domyślnie projekty są prywatne. Po wyłączeniu publikacji nowi odwiedzający tracą dostęp w ciągu minuty, ale przeglądarka osoby, która niedawno otworzyła stronę, może jeszcze do ok. 11 minut pokazywać zapamiętaną kopię.

Adresy IP: nie zapisujemy adresów IP w bazie danych aplikacji. Dostawcy infrastruktury (hosting, ochrona anty-bot, analityka, monitoring błędów - §4) przetwarzają adresy IP krótkotrwale w logach żądań i mechanizmach bezpieczeństwa, zgodnie ze swoimi politykami. Nie używamy cookies marketingowych ani danych z czujników telefonu w tle (lokalizację odczytujemy wyłącznie na żądanie - patrz wyżej).

4. Komu udostępniamy

Korzystamy z następujących podmiotów przetwarzających (subprocessors):

• Supabase Inc. - hosting bazy danych (region UE, eu-west-1), autoryzacja użytkowników, przechowywanie plików, funkcje serwerowe. Polityka Supabase
• Vercel Inc. - hosting interfejsu aplikacji (statyczne pliki; dane aplikacji płyną bezpośrednio z Twojej przeglądarki do Supabase); logi żądań. Polityka Vercel
• Cloudflare Inc. - ochrona przed botami (Turnstile), hosting serwisu informacyjnego limnolog.com oraz przechowywanie szyfrowanych kopii zapasowych (R2 - patrz §4b). Polityka Cloudflare
• Resend Inc. - wysyłka emaili (adresy, tematy, treść - w tym załącznik ZIP backupu, §4a) oraz zdarzenia dostarczalności (odbicia, skargi). Polityka Resend
• GitHub Inc. - automatyzacja kopii zapasowych: dane przepływają przez infrastrukturę GitHub w trakcie tworzenia szyfrowanego backupu (§4b). Polityka GitHub
• Plausible Insights OÜ - analityka odwiedzin bez cookies (dostawca z UE, hosting w UE); adres IP używany ulotnie do agregacji, nie jest zapisywany. Polityka Plausible
• Functional Software Inc. (Sentry) - monitoring błędów aplikacji; skonfigurowany bez wysyłania danych profilowych, ale komunikaty błędów mogą zawierać fragmenty danych technicznych. Polityka Sentry
• Google LLC (Firebase Cloud Messaging) - doręczanie powiadomień push w aplikacji Android (tokeny urządzeń; wyłącznie opt-in). Polityka Firebase
• Huawei Technologies Co., Ltd. (HMS Push Kit) - doręczanie powiadomień push w aplikacji Android pobranej z AppGallery na urządzeniach bez Usług Google (tokeny urządzeń; wyłącznie opt-in). Miejsce przetwarzania wybrane przy konfiguracji usługi: Niemcy. Polityka Huawei

Podmioty te przetwarzają dane na podstawie umów powierzenia (Data Processing Agreement) będących częścią dokumentacji prawnej danego dostawcy; transfery poza Europejski Obszar Gospodarczy odbywają się na podstawie mechanizmów przewidzianych w rozdziale V RODO (standardowe klauzule umowne lub EU-U.S. Data Privacy Framework), zgodnie z DPA danego dostawcy.

Dostęp administratora serwisu: osoba upoważniona przez Administratora danych (konto administratora serwisu) ma techniczny dostęp do projektów wszystkich użytkowników, także tych, których nie jest członkiem. Korzysta z niego w celu obsługi Twoich zgłoszeń, usuwania awarii oraz utrzymania działania i bezpieczeństwa serwisu (art. 6 ust. 1 lit. b i f RODO). Zmiany pomiarów, sesji, stacji, wskaźników, członków i ustawień projektu wprowadzone w ten sposób są automatycznie zapisywane w dzienniku aktywności projektu.

Logowanie przez Google / Microsoft: jeśli wybierzesz logowanie kontem Google lub Microsoft, dostawca logowania działa jako odrębny administrator Twoich danych w zakresie swojego konta - my otrzymujemy od niego wyłącznie adres email i imię.

4a. Cotygodniowy backup email

Domyślnie wysyłamy twórcy każdego projektu cotygodniowy backup email z archiwum ZIP zawierającym CSV pomiarów. Email jest transactional (nie marketingowy) i służy jako niezależna kopia danych w skrzynce użytkownika.

• Komu: twórcy projektu (created_by), w jego adresie rejestracyjnym, oraz administratorom projektu, którzy sami włączyli sobie odbiór backupu
• Kiedy: raz na tydzień, tylko gdy są nowe pomiary od ostatniego backupu
• Co zawiera: pomiary surowe (CSV) + metadane projektu, jako załącznik ZIP
• Wyłączenie: trzema drogami - (1) w ustawieniach projektu, dla tego projektu; (2) linkiem „Wypisz się" w stopce samego backupu, co wyłącza backup we wszystkich Twoich projektach jednym kliknięciem; (3) administrator projektu wyłącza sobie odbiór w ustawieniach swojego członkostwa. Backup jest sterowany niezależnie od globalnego przełącznika powiadomień email w Ustawieniach konta - ten drugi wycisza alerty, zaproszenia i raporty, ale nie backup (rozdzieliliśmy je świadomie 17.07.2026, żeby wypisanie się z kopii nie gasiło alertów i odwrotnie).
• Podstawa prawna: uzasadniony interes (art. 6 ust. 1 lit. f RODO) - bezpieczeństwo danych użytkownika

Uwaga: email w tranzycie SMTP nie jest standardowo szyfrowany end-to-end. Jeśli Twoje dane wymagają wyższego poziomu ochrony - wyłącz tę funkcję i pobieraj backup ręcznie.

4b. Kopie zapasowe serwisu

Niezależnie od backupu mailowego (§4a) wykonujemy kopie zapasowe całego serwisu - to standardowy środek ochrony przed utratą danych (art. 32 RODO):

• Co noc: kopia bazy danych, zaszyfrowana przed wysłaniem (szyfrowanie end-to-end - dostawca przechowywania nie widzi treści), przechowywana w Cloudflare R2. Kopie są usuwane automatycznie po 35 dniach.
• Co tydzień: lustro plików (zdjęcia, załączniki), również szyfrowane po stronie nadawcy. Archiwum usuniętych/zmienionych wersji plików jest usuwane automatycznie po 90 dniach.

Dane usunięte z aplikacji mogą pozostawać w szyfrowanych kopiach zapasowych do 35 dni (baza danych) lub do 90 dni (archiwum plików), po czym znikają wraz z automatycznym usunięciem kopii. Kopie zapasowe służą wyłącznie odtworzeniu serwisu po awarii; przy ewentualnym odtworzeniu ponawiamy usunięcia wykonane po dacie kopii.

5. Okres przechowywania

Polityka retention - automatyczne usuwanie nieaktywnych danych:

• Projekty (plan Free): usuwane automatycznie po 12 miesiącach bez aktywności (bez nowych pomiarów, sesji, zdjęć ani zmian w konfiguracji). Otrzymasz email 30 dni i 7 dni przed archiwizacją z eksportem ZIP wszystkich pomiarów w załączniku. Zdjęcia sesji i stacji nie są częścią tego eksportu i zostaną usunięte wraz z projektem - pobierzesz je w widoku sesji lub stacji. Po archiwizacji masz jeszcze 30 dni na pobranie danych w trybie read-only, potem trwałe usunięcie.
• Projekty (plany płatne i founder): przechowywane dopóki subscription jest aktywna (lub bezterminowo dla founder).
• Konto użytkownika (Free): anonimizowane po 12 miesiącach bez logowania ORAZ przy braku aktywnego projektu (jako owner lub członek). Email warning 30 + 7 dni przed. Imię i email zastąpione przez „Usunięty użytkownik", wpisy pomiarów pozostają anonimowo w projektach, do których miałeś dostęp, a dodane przez Ciebie zdjęcia sesji i stacji zostają w tych projektach jako ich dokumentacja.
• Konto użytkownika (founder, płatne): nie podlega automatycznemu usuwaniu. Możesz usunąć manualnie w Ustawieniach.
• Dziennik aktywności - zdarzenia projektu i konta: utworzenie i usunięcie projektu lub sesji, zmiany członkostwa, zatwierdzenia sesji, zmiany norm - zachowywane bezterminowo dla integralności audytu. Autor wpisu przestaje być identyfikowalny z chwilą anonimizacji jego konta.
• Dziennik aktywności - historia pojedynczego pomiaru: zapis „kto i kiedy wprowadził lub zmienił wartość" przechowujemy do 24 miesięcy; sam pomiar i jego bieżąca wartość pozostają w projekcie. Odczytów pobieranych automatycznie z konektorów nie zapisujemy w dzienniku pojedynczo.
• Techniczne wpisy utrzymaniowe serwisu: 90 dni.
• Powiadomienia email: 90 dni od wysłania, potem usuwane automatycznie.
• Zaproszenia do projektu (nieprzyjęte): 90 dni po wygaśnięciu zaproszenia, potem usuwane automatycznie (przyjęte zaproszenia pozostają jako zapis członkostwa; adres jest anonimizowany przy usunięciu konta).
• Subskrypcje powiadomień push: do wyłączenia powiadomień lub usunięcia konta.
• Telemetria niezawodności synchronizacji: 180 dni, potem usuwana automatycznie.
• Tokeny wypisania z emaili: 30 dni po wygaśnięciu lub zużyciu.
• Kopie zapasowe serwisu: 35 dni (baza) / 90 dni (archiwum plików) - patrz §4b.

💡 Zapobieganie usunięciu: projekt zostaje aktywny przy dodaniu jakiegokolwiek pomiaru / sesji / zdjęcia / nowego członka - licznik 12 miesięcy resetuje się. Konto jest aktywne przy każdym logowaniu. Płatny plan (Researcher/Lab Team/Institution) wyłącza automatyczne usuwanie projektów.

6. Twoje prawa

Zgodnie z RODO masz prawo do:

• Dostępu - pobierz swoje dane w formacie JSON (przycisk w Ustawieniach). Plik zawiera też metadane dodanych przez Ciebie zdjęć (data wykonania, podpis, współrzędne). Zdjęcia sesji i stacji pobierzesz bezpośrednio w widoku sesji/stacji w aplikacji.
• Sprostowania - edytuj profil w Ustawieniach
• Usunięcia („prawo do bycia zapomnianym") - przycisk „Usuń konto" w Ustawieniach. Dane badawcze zostaną zanonimizowane. Zdjęcia sesji i stacji, które dodałeś do projektów, zostają w nich jako dokumentacja projektu - usuń je wcześniej, jeśli nie chcesz, by zostały, albo napisz na administrator@limnolog.com. Pełny opis krok po kroku: Usuwanie danych
• Przeniesienia - eksport JSON
• Sprzeciwu wobec maili - checkbox w Ustawieniach; dodatkowo każdy email ma link wypisania, a skargi/odbicia zgłaszane przez Twoją skrzynkę automatycznie wyłączają wysyłkę
• Skargi do UODO (Urząd Ochrony Danych Osobowych): uodo.gov.pl

7. Cookies i pamięć przeglądarki

Nie używamy cookies marketingowych ani trackingowych, nie profilujemy i nie sprzedajemy danych. Analityka odwiedzin (Plausible) działa bez cookies i bez identyfikowania osób. Poniżej pełna lista tego, co nasze strony zapisują w Twoim urządzeniu - dotyczy to zarówno cookies, jak i pamięci przeglądarki (Local Storage, IndexedDB), bo przepisy o pamięci urządzenia końcowego obejmują jedno i drugie.

• Sesja logowania (Local Storage, klucze sb-*) - utrzymuje Cię zalogowanym w aplikacji. Znika przy wylogowaniu i przy wyczyszczeniu danych strony.
• Bufor offline (IndexedDB) - kopia danych projektów, do których masz dostęp: pomiary, sesje, listy słownikowe oraz wpisy zrobione bez zasięgu, czekające na wysłanie. Bez niej aplikacja nie działałaby w terenie. Kasuje się przy usunięciu projektu z urządzenia (Ustawienia → Pamięć urządzenia), przy wylogowaniu i przy wyczyszczeniu danych strony.
• Ustawienia interfejsu (Local Storage) - język, motyw jasny/ciemny i podobne drobiazgi, żeby nie trzeba było ich wybierać przy każdej wizycie.
• Lista obliczeń w kalkulatorach (Local Storage, klucze limnolog:calc:*, do 20 pozycji) - liczby, które sam wpisujesz w kalkulatorach na limnolog.pl i limnolog.com, wraz z datą i godziną dodania. Pozycja powstaje wyłącznie wtedy, gdy klikniesz „Dodaj do listy"; samo przeliczanie niczego nie zapisuje. Te dane nie trafiają na nasz serwer - nie mamy do nich dostępu i nie ma ich w eksporcie danych z konta. Usuwa je przycisk „Wyczyść", usunięcie pojedynczego wiersza albo wyczyszczenie danych strony.
• Informacja o wejściu z kalkulatora (Local Storage, domena aplikacji) - jeśli trafisz do aplikacji z odnośnika w kalkulatorze, zapisujemy sam fakt („przyszedł z kalkulatora") i znacznik czasu, na 30 dni. Służy wyłącznie policzeniu, ilu osobom ta ścieżka pomogła. Nie zapisujemy adresu, z którego przyszedłeś, ani niczego, co pozwalałoby Cię rozpoznać.

Wszystkie powyższe pozycje są niezbędne do działania funkcji, o którą prosisz (zalogowanie, praca offline, zapamiętanie Twojego wyboru), dlatego - zgodnie z wyrokami TSUE, m.in. w sprawie Planet49 - nie wymagają zgody i nie pokazujemy banera. Wszystko usuniesz w każdej chwili, czyszcząc dane strony w przeglądarce; stracisz wtedy jedynie wygodę (trzeba się zalogować ponownie, znika lista obliczeń), nie dane z konta - te są na serwerze.

8. Kontakt

W sprawach RODO pisz na: administrator@limnolog.com. Odpowiadamy w ciągu 30 dni.