Polityka prywatności
Obowiązuje od: [DATA WEJŚCIA W ŻYCIE]
Niniejsza Polityka prywatności wyjaśnia, w jaki sposób przetwarzamy dane osobowe Użytkowników aplikacji Tonika — towarzysza ćwiczeń muzycznych dostępnego jako aplikacja webowa oraz na iOS („Usługa”).
Szanujemy Twoją prywatność i zależy nam na przejrzystości. Zbieramy wyłącznie dane niezbędne do świadczenia Usługi i nigdy nie sprzedajemy Twoich danych.
§ 1. Administrator danych
Administratorem danych osobowych jest Artur Kondas, prowadzący jednoosobową działalność gospodarczą pod firmą BB Services Artur Kondas, wpisaną do CEIDG:
- Adres: Smolki 12b, 30-513 Kraków
- NIP: 5793315806
- REGON: 540284210
- E-mail: privacy@playtonika.com
- Telefon: 535319016
§ 2. Definicje
- Dane osobowe — wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.
- Przetwarzanie — każda operacja wykonywana na danych osobowych (zbieranie, przechowywanie, wykorzystywanie, usuwanie itp.).
- Administrator — podmiot decydujący o celach i sposobach przetwarzania danych osobowych (Usługodawca).
- Podmiot przetwarzający — podmiot przetwarzający dane osobowe w imieniu Administratora.
- Użytkownik — osoba fizyczna korzystająca z Usługi.
- Usługa — aplikacja Tonika.
- RODO — Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych.
§ 3. Kategorie zbieranych danych
3.1 Dane konta
Przy zakładaniu Konta zbieramy adres e-mail (wymagany) oraz opcjonalną nazwę wyświetlaną. Rejestracja jest możliwa za pomocą e-maila i hasła, Apple Sign In lub Google Sign In. Dane konta są przechowywane w Supabase.
3.2 Dane ćwiczeń
Jeśli Użytkownik jest zalogowany, dane ćwiczeń są synchronizowane z chmurą. Obejmują one:
- Zapisy ćwiczeń (zagrane nuty, dokładność, czas trwania)
- Łączne XP i postęp poziomów
- Serie ćwiczeń i dzienny czas praktyki
- Wyniki biegłości w poszczególnych skalach i tonacjach
- Zapisane szablony sesji
Dane te są również przechowywane lokalnie w localStorage przeglądarki. Bez zalogowania dane ćwiczeń pozostają wyłącznie na urządzeniu Użytkownika i nie są przesyłane.
3.3 Preferencje
Ustawienia aplikacji — motyw, język, konfiguracja gitary, preferencje ćwiczeń — są przechowywane w localStorage i synchronizowane z Supabase w przypadku zalogowania.
3.4 Dźwięk z mikrofonu
Tonika wykorzystuje mikrofon urządzenia wyłącznie do wykrywania wysokości dźwięku w czasie rzeczywistym. Strumień audio jest przetwarzany w przeglądarce:
- Dźwięk nie jest nigdy nagrywany
- Dźwięk nie jest nigdy zapisywany — ani lokalnie, ani na żadnym serwerze
- Dźwięk nie jest nigdy przesyłany przez sieć
- Strumień z mikrofonu jest zatrzymywany natychmiast po opuszczeniu widoku ćwiczeń
Bez dostępu do mikrofonu tryb ćwiczeń nie będzie działał — aplikacja nie ma możliwości wykrycia granych dźwięków.
3.5 Dane płatnicze
Płatności kartą są przetwarzane przez Stripe. Brudne Brzmienie nie przechowuje numerów kart płatniczych ani wrażliwych danych płatniczych. Od Stripe otrzymujemy jedynie:
- Identyfikator subskrypcji
- Status płatności
- Datę następnego odnowienia
- Kwoty transakcji (do celów księgowych)
3.6 Dane z listy oczekujących
Przy dołączeniu do listy oczekujących zbieramy adres e-mail, adres IP oraz ciąg identyfikujący przeglądarki (user agent). W przypadku wyrażenia zgody na komunikację marketingową rejestrujemy również znacznik czasu zgody oraz zakres udzielonej zgody. Dane te są przechowywane w Supabase.
3.7 Dane analityczne
Korzystamy z Vercel Analytics w celu zrozumienia ogólnych wzorców użytkowania:
- Odsłony stron
- Typ przeglądarki i systemu operacyjnego
- Lokalizacja na poziomie kraju (na podstawie adresu IP)
Vercel Analytics nie używa plików cookie i nie śledzi użytkowników między sesjami.
Korzystamy również z PostHog (hosting w UE) w celu zrozumienia, jak odwiedzający korzystają z naszej witryny — odsłony stron, kliknięcia, głębokość przewijania oraz działania konwersyjne (np. zapisy do newslettera). Na tej witrynie PostHog działa bezplikowo (wyłącznie w pamięci): nie zapisuje plików cookie, nie ustawia trwałego identyfikatora i nie śledzi użytkowników między sesjami. PostHog przetwarza również metadane techniczne (przybliżoną lokalizację na podstawie adresu IP, przeglądarkę i system operacyjny, adres odsyłający). Gdy przechodzisz do naszej aplikacji, w linku może zostać przekazany identyfikator analityczny danej wizyty, aby powiązać pojedynczą wizytę z rejestracją; identyfikator ten nie jest przechowywany na tej witrynie ani zachowywany między sesjami.
3.8 Dane reklamowe
Użytkownicy planu darmowego mogą widzieć reklamy wyświetlane przez Google AdSense. Po wyrażeniu przez Użytkownika zgody na spersonalizowane reklamy:
- Google może umieszczać pliki cookie reklamowe na urządzeniu Użytkownika w celu wyświetlania trafnych reklam opartych na historii przeglądania
- Google zbiera zanonimizowane dane dotyczące interakcji (wyświetlenia reklam, kliknięcia)
- Do przetwarzania danych przez Google stosuje się Polityka prywatności Google: https://policies.google.com/privacy
Subskrybenci Premium nigdy nie widzą reklam i nie są dla nich ustawiane żadne pliki cookie reklamowe.
Jeśli Użytkownik odrzuci spersonalizowane reklamy, Google może nadal wyświetlać reklamy niespersonalizowane. Do ich wyświetlania nie są używane pliki cookie śledzące.
3.9 Tokeny uwierzytelniania
W przypadku logowania przez Apple Sign In lub Google Sign In tokeny OAuth są przekazywane bezpośrednio do Supabase. Nie są przechowywane lokalnie na urządzeniu.
§ 4. Czego nie zbieramy
Wyraźnie informujemy, czego nigdy nie zbieramy:
- Danych lokalizacyjnych ani GPS
- Kontaktów ani książki adresowej
- Zdjęć, dostępu do aparatu ani biblioteki multimediów
- Danych o zdrowiu i kondycji
- Identyfikatora reklamowego (IDFA) ani danych śledzenia między aplikacjami (dotyczy iOS; obsługa reklam w przeglądarce odbywa się za pośrednictwem Trybu Zgody Google)
- Numerów kart płatniczych ani wrażliwych danych płatniczych (obsługuje je Stripe)
- Numeru telefonu
§ 5. Cele i podstawy prawne przetwarzania
| Dane | Cel | Podstawa prawna (RODO) |
|---|---|---|
| Konto (e-mail, nazwa) | Świadczenie Usługi, uwierzytelnianie | Art. 6 ust. 1 lit. b — wykonanie umowy |
| Dane ćwiczeń | Śledzenie postępów, synchronizacja | Art. 6 ust. 1 lit. b — wykonanie umowy |
| Preferencje | Personalizacja Usługi | Art. 6 ust. 1 lit. b — wykonanie umowy |
| Mikrofon | Wykrywanie dźwięku w czasie rzeczywistym (lokalnie) | Art. 6 ust. 1 lit. a — zgoda (pozwolenie przeglądarki) |
| Dane płatnicze (Stripe) | Obsługa subskrypcji, rozliczenia | Art. 6 ust. 1 lit. b — wykonanie umowy |
| E-mail z listy oczekujących | Powiadomienie o uruchomieniu | Art. 6 ust. 1 lit. a — zgoda |
| Zgoda marketingowa | Aktualizacje produktu, porady muzyczne | Art. 6 ust. 1 lit. a — wyraźna zgoda (double opt-in) |
| Analityka | Ulepszanie Usługi | Art. 6 ust. 1 lit. f — uzasadniony interes |
| Pliki cookie reklamowe (Google) | Wyświetlanie trafnych reklam (plan darmowy) | Art. 6 ust. 1 lit. a — zgoda (preferencje cookies) |
| IP, user agent (audyt zgód) | Udowodnienie uzyskania zgody | Art. 6 ust. 1 lit. f — uzasadniony interes (compliance) |
| Dane rozliczeniowe | Obowiązki podatkowe i księgowe | Art. 6 ust. 1 lit. c — obowiązek prawny |
§ 6. Podmioty przetwarzające i odbiorcy danych
| Dostawca | Cel | Udostępniane dane | Lokalizacja |
|---|---|---|---|
| Supabase | Uwierzytelnianie, baza danych, synchronizacja | Dane konta, dane ćwiczeń, preferencje | USA (SCCs) |
| Stripe | Przetwarzanie płatności | Dane karty (bezpośrednio do Stripe), ID subskrypcji | USA/UE (SCCs, PCI DSS) |
| Vercel Analytics | Anonimowa analityka odsłon | Odsłony stron, przeglądarka/system, kraj | USA (SCCs) |
| PostHog | Bezplikowa analityka produktu i witryny | Odsłony stron, kliknięcia, głębokość przewijania, zdarzenia konwersji | UE (Frankfurt) |
| Resend | Wysyłka e-maili transakcyjnych i marketingowych | Adres e-mail | USA (SCCs) |
| Apple Sign In | Opcjonalna metoda logowania | Token OAuth (przekazywany do Supabase) | USA |
| Google Sign In | Opcjonalna metoda logowania | Token OAuth (przekazywany do Supabase) | USA |
| Google AdSense | Reklamy (wyłącznie użytkownicy planu darmowego) | Pliki cookie reklamowe, zanonimizowane dane interakcji | USA/UE (SCCs) |
Nie sprzedajemy ani nie wynajmujemy Twoich danych. Użytkownicy planu darmowego widzą reklamy za pośrednictwem Google AdSense; przetwarzanie danych związanych z reklamami podlega polityce prywatności Google i wymaga Twojej zgody.
§ 7. Transfery międzynarodowe
Podmioty przetwarzające wymienione w § 6 mogą przetwarzać dane na serwerach zlokalizowanych w Stanach Zjednoczonych. Transfery te są chronione przez:
- Standardowe Klauzule Umowne (SCCs) zatwierdzone przez Komisję Europejską
- EU-US Data Privacy Framework tam, gdzie ma zastosowanie
- Certyfikacje poszczególnych procesorów (np. Stripe — PCI DSS)
§ 8. Okres przechowywania danych
| Dane | Okres przechowywania |
|---|---|
| Konto + dane ćwiczeń + preferencje | Do usunięcia Konta; trwale usuwane po usunięciu |
| Dane płatnicze (referencje Stripe) | Do usunięcia Konta; Stripe przechowuje wg własnej polityki |
| Dane rozliczeniowe (faktury, kwoty) | 5 lat od końca roku podatkowego (obowiązek prawny) |
| Lista oczekujących | Do uruchomienia Usługi lub rezygnacji, maksymalnie 24 miesiące |
| Dziennik audytu zgód (IP, user agent) | 5 lat od cofnięcia zgody |
| Analityka (Vercel) | Zanonimizowane, brak powiązania z użytkownikiem |
| Pliki cookie reklamowe (Google) | Zarządzane przez Google; można odwołać poprzez preferencje plików cookie w aplikacji |
| localStorage | Kontrolowane przez Użytkownika (czyszczenie przeglądarki) |
§ 9. Profilowanie i zautomatyzowane decyzje
Tonika nie dokonuje:
- Profilowania Użytkowników w celach marketingowych lub reklamowych
- Zautomatyzowanego podejmowania decyzji wywołujących skutki prawne lub istotnie wpływających na Użytkownika
Wyniki XP, oceny biegłości i serie ćwiczeń to narzędzia służące Użytkownikowi do śledzenia postępów — nie są wykorzystywane do podejmowania jakichkolwiek decyzji dotyczących Użytkownika.
§ 10. Pliki cookie i technologie śledzenia
10.1 Kategorie plików cookie
| Kategoria | Cel | Wymaga zgody |
|---|---|---|
| Niezbędne | Funkcjonowanie aplikacji (localStorage dla preferencji, danych ćwiczeń, tokenów uwierzytelniania) | Nie |
| Reklamowe | Spersonalizowane reklamy za pośrednictwem Google AdSense (wyłącznie użytkownicy planu darmowego) | Tak |
10.2 Zgoda na pliki cookie
Gdy reklamy są aktywne, użytkownicy planu darmowego widzą przy pierwszej wizycie pasek zgody na pliki cookie. Użytkownik może:
- Zaakceptować wszystkie — włącza spersonalizowane pliki cookie reklamowe
- Zarządzać preferencjami — wybrać, które kategorie włączyć
- Odrzucić — żadne reklamowe pliki cookie nie są ustawiane; mogą nadal pojawiać się reklamy niespersonalizowane
10.3 Zarządzanie preferencjami
Użytkownik może zmienić swoje preferencje dotyczące plików cookie w dowolnym momencie:
- W aplikacji: Ustawienia → Preferencje plików cookie
- W przeglądarce: Wyczyszczenie plików cookie lub użycie ustawień przeglądarki
10.4 Czego nie stosujemy
- Brak pikseli śledzenia między witrynami (Facebook Pixel itp.)
- Vercel Analytics — bezplikowa (cookieless), anonimowa analityka (zgoda nie jest wymagana)
- PostHog — bezplikowa analityka w pamięci; brak śledzenia między sesjami (zgoda nie jest wymagana)
- Brak fingerprintingu ani ukrytych technologii śledzenia
10.5 Użytkownicy Premium
Subskrybenci Premium nigdy nie widzą reklam i nie są dla nich ustawiane żadne reklamowe pliki cookie, niezależnie od preferencji dotyczących zgody.
§ 11. Prawa Użytkownika (RODO)
Na podstawie RODO (art. 15–22) Użytkownikowi przysługują następujące prawa:
- Prawo dostępu (art. 15) — możesz zażądać kopii swoich danych osobowych
- Prawo do sprostowania (art. 16) — możesz zażądać poprawienia niedokładnych danych
- Prawo do usunięcia (art. 17) — możesz zażądać usunięcia swoich danych osobowych („prawo do bycia zapomnianym”)
- Prawo do przenoszenia danych (art. 20) — możesz wyeksportować swoje dane ćwiczeń w formacie JSON (dostępne w Ustawieniach aplikacji)
- Prawo do ograniczenia przetwarzania (art. 18) — możesz zażądać ograniczenia sposobu przetwarzania Twoich danych
- Prawo do sprzeciwu (art. 21) — możesz sprzeciwić się przetwarzaniu opartemu na uzasadnionym interesie (np. analityka)
- Prawo do cofnięcia zgody — możesz cofnąć zgodę w dowolnym momencie (usunięcie Konta, rezygnacja z marketingu)
Każdy e-mail marketingowy zawiera link do rezygnacji z subskrypcji. Zgodę na komunikację marketingową można cofnąć w dowolnym momencie, klikając link w e-mailu lub kontaktując się pod adresem privacy@playtonika.com.
Aby skorzystać z któregokolwiek z tych praw, skontaktuj się z nami pod adresem privacy@playtonika.com. Odpowiemy w ciągu 30 dni, zgodnie z wymogami RODO.
Masz również prawo złożyć skargę do organu nadzorczego:
Prezes Urzędu Ochrony Danych Osobowych (PUODO) ul. Stawki 2, 00-193 Warszawa https://uodo.gov.pl
§ 12. Prywatność dzieci
Usługa nie jest skierowana do dzieci poniżej 16. roku życia. Nie zbieramy świadomie danych osobowych od dzieci poniżej 16 lat. Jeśli dowiemy się, że nieumyślnie zebraliśmy takie dane, niezwłocznie je usuniemy. W przypadku podejrzenia, że dziecko poniżej 16 lat przekazało nam dane osobowe, prosimy o kontakt pod adresem privacy@playtonika.com.
§ 13. Bezpieczeństwo danych
Stosujemy odpowiednie środki techniczne i organizacyjne w celu ochrony danych:
- Wszystkie dane przesyłane między urządzeniem a serwerami są szyfrowane protokołem HTTPS/TLS
- Uwierzytelnianie realizowane jest przez Supabase Auth zgodnie z branżowymi standardami bezpieczeństwa
- Hasła nigdy nie są przechowywane w postaci jawnej
- Klucze API po stronie serwera są przechowywane jako zmienne środowiskowe i nigdy nie są eksponowane klientowi
- Płatności obsługiwane są przez Stripe z certyfikacją PCI DSS
Pomimo stosowania odpowiednich zabezpieczeń, żadna metoda transmisji elektronicznej ani przechowywania danych nie jest w 100% bezpieczna. Nie możemy zagwarantować absolutnego bezpieczeństwa.
§ 14. Zmiany Polityki prywatności
- Administrator może okresowo aktualizować niniejszą Politykę prywatności.
- W przypadku zmian zostanie zaktualizowana data „Obowiązuje od” na górze tej strony.
- O istotnych zmianach poinformujemy za pośrednictwem aplikacji lub e-mailem.
- Zachęcamy do okresowego przeglądania niniejszej Polityki.
§ 15. Kontakt
W sprawach dotyczących prywatności i ochrony danych osobowych skontaktuj się z nami:
- E-mail: privacy@playtonika.com
- Pełne dane Administratora: patrz § 1
Skarga do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych (PUODO), ul. Stawki 2, 00-193 Warszawa, https://uodo.gov.pl