Polityka prywatności

Administrator danych

tap & type UG (haftungsbeschränkt), Pestalozzistr. 14, 14943 Luckenwalde, Niemcy, e-mail: kontakt@waffenschrank.app (zob. notę prawną).

Osoba odpowiedzialna za ochronę danych osobowych (Kanada, w tym Quebec): Stefan Ritschel, prezes zarządu tap & type UG (haftungsbeschränkt), kontakt@waffenschrank.app.

Zasada podstawowa: Twoje dane zostają u Ciebie

Waffenschrank to aplikacja działająca w modelu local-first: wszystkie treści (broń, amunicja, trening, dokumenty, zdjęcia) są przechowywane na Twoim urządzeniu – w aplikacji webowej w pamięci Twojej przeglądarki, którą przeglądarka w pewnych sytuacjach może sama wyczyścić (zob. „Jak długo przechowujemy dane”). Na serwer trafiają tylko wtedy, gdy sam skonfigurujesz kopię zapasową, synchronizację urządzeń, gablotę lub stronę klubową; co i dokąd trafia, opisują sekcje poniżej. Nie ma obowiązku zakładania konta, nie ma śledzenia, reklam ani modułów analitycznych; nie analizujemy, jak korzystasz z aplikacji. Jakie zbiorcze liczby pokazują nam Apple i Google, opisujemy w części „Co otrzymujemy z App Store i Google Play”. Rozpoznawanie tekstu (OCR), usuwanie tła ze zdjęć i ocena tarcz działają na urządzeniu — zdjęcia w tym celu go nie opuszczają. Tylko w aplikacji webowej rozpoznawanie tekstu pobiera przy pierwszym użyciu swój model rozpoznawania i rdzeń obliczeniowy z naszego własnego serwera (web.waffenschrank.app), a nie z obcego hosta; również tam samo zdjęcie jest analizowane w przeglądarce i nie jest nigdzie przesyłane. Jeśli przy nabyciu lub przekazaniu wpiszesz imię i nazwisko, adres oraz datę urodzenia drugiej strony, są to dane innej osoby: one również zostają na Twoim urządzeniu i nigdy nie trafiają do gabloty; do kopii zapasowej w iCloud, na Dysku Google i na koncie oraz do synchronizacji urządzeń trafiają wyłącznie w postaci zaszyfrowanej. Jeśli sam wyeksportujesz plik kopii zapasowej bez hasła (aplikacja przed tym ostrzega), plik PDF z tymi danymi albo plik CSV rejestru USA, plik ten nie jest zaszyfrowany.

Timer strzałów korzysta z mikrofonu wyłącznie po to, by rozpoznawać strzały jako impulsy głośności. Analiza odbywa się w czasie rzeczywistym na urządzeniu; dźwięk w żadnym momencie nie jest nagrywany, zapisywany ani przesyłany — zapisywane są tylko rozpoznane momenty w czasie (wartości liczbowe). Dostęp do mikrofonu jest aktywny tylko wtedy, gdy timer działa.

Trener oblicza swoje wskazówki w całości lokalnie, na podstawie Twoich wpisów. Na urządzeniach z systemową sztuczną inteligencją działającą na urządzeniu (Apple Intelligence lub Gemini Nano) może dodatkowo zlecić jej sformułowanie krótkiego podsumowania — to również dzieje się wyłącznie na urządzeniu. Do takiego podsumowania trafiają jedynie zagregowane wskaźniki, nigdy dane o broni, miejscach ani osobach, i nic z tego nie opuszcza urządzenia ani nie jest zapisywane.

Wskazówki o funkcjach Pro: Po określonych krokach – na przykład po Twojej pierwszej kopii zapasowej, zrealizowanym terminie albo dziesiątym treningu – aplikacja pokazuje w Przeglądzie jednorazowo kartę o pasującej funkcji Pro. Czy i kiedy, rozstrzyga wyłącznie na Twoim urządzeniu na podstawie Twoich wpisów; w tym celu zapamiętuje tam, jakie wskazówki i kiedy pokazała oraz jaki stan zastała przy pierwszym uruchomieniu wersji 3.5. Jeśli strona Pro zaproponowała Ci bezpłatny okres próbny, aplikacja zapamiętuje ponadto jego długość, cenę i walutę wraz z czasem, aby przez maksymalnie siedem dni wspominać o nim także w „Więcej”. Nic z tego nie opuszcza urządzenia; nie dowiadujemy się, czy i kiedy widzisz wskazówkę. Wskazówki możesz wyłączyć w profilu w „Wskazówki o funkcjach Pro”. Podstawa prawna: art. 6 ust. 1 lit. f RODO (nasz uzasadniony interes w informowaniu o własnych funkcjach; przełącznik jest zarazem Twoim sprzeciwem na podstawie art. 21 ust. 2 RODO); dla zapisywania na urządzeniu § 25 ust. 2 pkt 2 niemieckiej ustawy TDDDG lub odpowiedni przepis Twojego kraju (zob. „Zasada podstawowa”).

Dane treści aplikacji — baza danych (folder „SQLite”), zdjęcia (folder „photos”) i dokumenty (folder „documents”) — są wyłączone z kopii zapasowej urządzenia w systemie iOS. Nie są więc automatycznie zabezpieczane razem z kopią zapasową urządzenia ani z kopią iCloud. W systemie Android systemowa kopia zapasowa jest dla aplikacji całkowicie wyłączona, więc również tam żadne treści nie trafiają automatycznie do kopii Google. Pozostałości techniczne (np. ustawienia aplikacji w pamięci systemowej oraz – na iPhonie i iPadzie do następnego uruchomienia – komunikat o błędzie awarii przy starcie, zob. „Co dzieje się przy starcie — także bez konta”) mogą nadal trafiać do kopii zapasowej urządzenia; dane o broni, amunicji i treningu — nie. Kopia Twoich treści powstaje wyłącznie wtedy, gdy skonfigurujesz ją samodzielnie: kopia w iCloud, kopia na Dysku Google (Android), kopia zapasowa/synchronizacja przez konto albo ręczny eksport. Bez jednego z tych zabezpieczeń dane przepadają wraz z utratą lub awarią urządzenia.

Waffenschrank nie jest skierowany do dzieci; konto, gablota i strona klubu są przeznaczone dla osób pełnoletnich, które ukończyły 18 lat.

„Do Not Track”: nie zbieramy danych osobowych o Twojej aktywności w sieci na przestrzeni czasu ani w witrynach i usługach innych podmiotów, i żaden podmiot trzeci nie robi tego za pośrednictwem naszej aplikacji lub strony. Sygnały „Do Not Track” przeglądarki i Global Privacy Control nic tu więc nie zmieniają — nie ma śledzenia, które mogłyby wyłączyć.

Zapisywanie lub odczytywanie informacji na Twoim urządzeniu: tam, gdzie niniejsza informacja powołuje się w tym zakresie na § 25 ust. 2 pkt 2 niemieckiej ustawy TDDDG, chodzi o dostęp niezbędny do świadczenia usługi, której wyraźnie zażądałeś; taki dostęp nie wymaga zgody (art. 5 ust. 3 zdanie drugie dyrektywy 2002/58/WE). Poza Niemcami obowiązuje odpowiedni przepis Twojego kraju: w Austrii § 165 Abs. 3 TKG 2021; we Francji art. 82 ustawy nr 78-17 z 6 stycznia 1978 r. (Informatique et Libertés); we Włoszech art. 122 kodeksu ochrony danych osobowych (Codice in materia di protezione dei dati personali); w Hiszpanii art. 22 ust. 2 akapit trzeci LSSI; w Danii § 4 ust. 1 pkt 2 duńskiego rozporządzenia w sprawie plików cookie (cookiebekendtgørelsen, BEK nr 1148 z 9 grudnia 2011 r.); w Polsce art. 399 ustawy – Prawo komunikacji elektronicznej; w Czechach § 89 odst. 3 zákona č. 127/2005 Sb.; w Finlandii § 205 ustawy o usługach łączności elektronicznej (917/2014); w Niderlandach art. 11.7a lid 3 onder b Telecommunicatiewet; w Belgii art. 10/2, al. 2, de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel; w Szwecji 9 kap. 28 § andra stycket 2 lagen (2022:482) om elektronisk kommunikation; na Słowacji § 109 ods. 8 zákona č. 452/2021 Z. z.; w Irlandii Reg. 5(5) S.I. No. 336/2011; w Luksemburgu art. 4, paragraphe 3, lettre e), de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques; w Estonii i na Litwie przepis, który wdraża tam tę dyrektywę; w Norwegii § 3-15 ust. 2 lit. b ustawy ekomloven. Na Węgrzech § 155 ust. 4 Eht. (2003. évi C. törvény az elektronikus hírközlésről) zezwala na zapisywanie i odczytywanie informacji na Twoim urządzeniu tylko wtedy, gdy wcześniej zostałeś poinformowany i wyraziłeś zgodę; nie powtarza wyjątku dyrektywy, choć ją wdraża. Wykładamy go tak jak dyrektywę i dlatego także na Węgrzech nie pytamy o Twoją zgodę na ten dostęp; według jego dosłownego brzmienia także ten dostęp wymagałby zgody.

Co dzieje się przy starcie — także bez konta

Aplikacja nie jest całkowicie offline. Na iPhonie, iPadzie i Androidzie przy starcie pyta nasz własny punkt dystrybucji (updates.waffenschrank.app, dostarczany przez naszego dostawcę hostingu Cloudflare, Inc. — podmiot przetwarzający, standardowe klauzule umowne UE), czy jest dostępna aktualizacja programu. Przesyłane są przy tym nieuchronnie Twój adres IP, identyfikator projektu i aktualizacji, kanał dystrybucji, wersja środowiska uruchomieniowego oraz platforma i wersja systemu operacyjnego. Dwie kolejne informacje dołącza sama biblioteka aktualizacji: identyfikator instalacji, tworzony przy pierwszym uruchomieniu i pozostający trwale na urządzeniu, oraz po awarii jednorazowo komunikat o błędzie (do 1024 znaków), który przy tym zostaje usunięty z urządzenia. Od wersji 2.2.1 aplikacja podmienia obie te informacje na stałe wartości zastępcze, jednakowe na wszystkich urządzeniach, dzięki czemu żadna z nich nie opuszcza urządzenia; starsze wersje nadal je wysyłają. Nasza usługa aktualizacji nie potrzebuje żadnej z nich, nie analizuje ich i nie zapisuje. Wersje aplikacji starsze niż 1.3 zamiast naszego punktu dystrybucji pytają Expo (650 Industries, Inc., USA — podstawą przekazania jest decyzja stwierdzająca odpowiedni stopień ochrony dotycząca ram ochrony danych UE–USA (EU-U.S. Data Privacy Framework), na podstawie których Expo ma certyfikację) i również wysyłają przy tym identyfikator instalacji. Treści Twojej kolekcji nie są przesyłane. Podstawa prawna: art. 6 ust. 1 lit. f RODO (dostarczanie poprawek błędów); w zakresie, w jakim aplikacja odczytuje w tym celu niezbędne informacje na Twoim urządzeniu, np. identyfikator zainstalowanej aktualizacji — § 25 ust. 2 pkt 2 niemieckiej ustawy TDDDG lub odpowiedni przepis Twojego kraju (zob. „Zasada podstawowa”).

Kilka sekund po starcie aplikacja na iPhonie, iPadzie i Androidzie pyta ponadto kataloge.waffenschrank.app (również przez Cloudflare, Inc. — podmiot przetwarzający, standardowe klauzule umowne UE), czy istnieje nowsza wersja katalogów broni, akcesoriów i amunicji, i w razie potrzeby ją pobiera. Przesyłane są przy tym nieuchronnie Twój adres IP oraz dane, które system operacyjny dołącza do każdego zapytania (np. wersja aplikacji i systemu); identyfikator instalacji ani treści Twojej kolekcji nie są przesyłane. Zeskanowany kod kreskowy aplikacja porównuje tylko z katalogami na urządzeniu. Podstawa prawna: art. 6 ust. 1 lit. f RODO (aktualne katalogi bez nowej wersji aplikacji).

Na iPhonie, iPadzie i Androidzie obsługa zakupów zgłasza się przy starcie tylko wtedy, gdy na tym urządzeniu rozpoczęto już kiedyś zakup, zrealizowano kod lub rozpoznano odblokowanie Pro przez sklep albo — od wersji 2.2.1 — gdy sklep na Twoim urządzeniu ma zapisany zakup Pro dokonany z Twojego konta (aplikacja sprawdza to na miejscu, sama niczego nie wysyłając); sprawdza wtedy, czy Pro nadal obowiązuje — z reguły najwyżej co dwanaście godzin, częściej, dopóki zakup nie jest zakończony lub gdy subskrypcja wygasła (zob. „Zakupy”). Jeśli nigdy niczego nie kupiłeś, zgłasza się dopiero wtedy, gdy otworzysz stronę Pro. Inne połączenia aplikacja nawiązuje dopiero wtedy, gdy samodzielnie skonfigurujesz lub uruchomisz odpowiednią funkcję: konto, kopię zapasową, gablotę, formularz kontaktowy i uzupełnianie danych z linków sklepowych. Później niektóre z nich działają dalej także samoczynnie — automatyczna kopia zapasowa, comiesięczne odświeżanie gabloty oraz, gdy Pro się kończy lub wraca, wstrzymywanie lub ponowne przesyłanie kolejnych gablot.

Dotyczy to aplikacji od wersji 2.2. Starsze wersje łączą się przy każdym uruchomieniu z obsługą zakupów (RevenueCat), aby sprawdzić status Pro.

Uprawnienia urządzenia

O uprawnienia aplikacja prosi dopiero wtedy, gdy korzystasz z odpowiedniej funkcji: aparat i biblioteka zdjęć (zdjęcia broni, dokumentów i paragonów, skanowanie kodów kreskowych i tekstu), mikrofon (timer strzałów), NFC (odczyt znaczników na szafach i walizkach), Face ID lub odcisk palca (blokada aplikacji i udostępnienie klucza odzyskiwania), powiadomienia (przypomnienia) oraz na iPhonie i iPadzie kalendarz (tylko dodawanie wydarzeń, gdy dodajesz kilka terminów naraz; aplikacja nie może odczytać Twojego kalendarza). To, co przy tym powstaje, zostaje na urządzeniu. To, co dodasz do kalendarza, znajduje się potem w nim – a jeśli kalendarz synchronizuje się z usługą online, także tam.

Rozpoznawanie tekstu, kody kreskowe i trener na Androidzie (Google ML Kit)

Na Androidzie rozpoznawanie tekstu, skanowanie kodów kreskowych, wycinanie obiektów ze zdjęć i skanowanie dokumentów obsługują biblioteki Google (ML Kit); podsumowanie trenera formułuje Gemini Nano za pośrednictwem usługi systemowej AICore. Obraz, rozpoznany tekst, zawartość kodu kreskowego i dane wprowadzone do trenera są przy tym przetwarzane na urządzeniu. Domyślnie ML Kit od pierwszego użycia jednej z tych funkcji wysyłałby dane diagnostyczne i dane o użytkowaniu do Google LLC (USA) (firebaselogging.googleapis.com): trwały identyfikator instalacji, nazwę pakietu i wersję biblioteki, ustawienie języka, model i producenta urządzenia, wersję Androida, kraj, sieć komórkową, typ sieci i strefę czasową. Tę drogę przesyłania wyłączyliśmy w aplikacji: zdarzenia nie są ani zapisywane, ani wysyłane. Wycinanie obiektów i skanowanie dokumentów działają w usługach Google Play na Twoim urządzeniu, komponencie systemowym Google; to, co same przekazują do Google, podlega warunkom Google i pozostaje poza zakresem tego wyłączenia. Aplikacja na iPhone’a i iPada nie zawiera ML Kit.

Przypomnienia, widżety i skróty

Przypomnienia – o terminach, konserwacji, treningach, zawodach i własnych wydarzeniach, o końcu okresu próbnego Pro i o odnowieniu rocznej lub kwartalnej subskrypcji Pro – planuje i wyświetla samo urządzenie (powiadomienia lokalne). Nie ma żadnej usługi push; żaden serwer nie dowiaduje się, o czym przypomina Ci aplikacja. Wiadomość e-mail przed odnowieniem subskrypcji rocznej lub kwartalnej to osobny kanał (zob. „Przypomnienie przed odnowieniem”).

Na potrzeby widżetów, aktywności na żywo, skrótów i Siri aplikacja umieszcza na iPhonie i iPadzie niezbędne do tego dane we wspólnym obszarze urządzenia (grupa aplikacji): liczbę Twoich sztuk broni, kończących się rodzajów amunicji i treningów z ostatnich dwunastu miesięcy; producenta, model i kaliber każdej broni; nazwę, kaliber i stan każdego rodzaju amunicji oraz stan według kalibru; tytuł, termin i rodzaj Twoich otwartych terminów wraz z bronią, do której się odnoszą; sygnalizację potrzeby posiadania broni, język aplikacji i wewnętrzne identyfikatory, po których aplikacja odnajduje te wpisy. Numery seryjne, miejsca przechowywania i numery Twoich pozwoleń do nich nie należą. Jeśli na iPhonie lub iPadzie odhaczysz termin w widżecie, to polecenie pozostaje w grupie aplikacji, dopóki aplikacja nie wykona go przy najbliższym otwarciu. Na potrzeby widżetu terminów na Androidzie aplikacja zapisuje tytuł i datę Twoich otwartych terminów we własnej pamięci. Gdy blokada aplikacji jest włączona, zapisuje wyłącznie neutralne liczniki bez nazw. Z tych obszarów aplikacja niczego nie wysyła i są one wyłączone z kopii zapasowej urządzenia. Jeśli na iPhonie lub iPadzie udostępnisz z innej aplikacji zdjęcie lub plik PDF aplikacji Waffenschrank, rozszerzenie udostępniania również umieści plik w tym obszarze do czasu następnego otwarcia aplikacji; wtedy aplikacja przenosi go do własnej pamięci. Do tego czasu plik jest w grupie aplikacji wyłączony z kopii zapasowej urządzenia, o ile aplikacja była od instalacji otwarta przynajmniej raz. Rozszerzenie nie wyświetla niczego z Twojej kolekcji. Widżety na ekranie głównym pokazują swoją zawartość bez pytania o blokadę aplikacji; na ekranie blokady i w trybie StandBy iOS ukrywa ją, dopóki urządzenie jest zablokowane. Aktywność na żywo pokazuje tam tytuł, zegar i liczniki Twojego dnia treningowego. Jeśli korzystasz z funkcji Apple, które wyświetlają widżety lub aktywności na żywo na innych urządzeniach (np. Mac, Apple Watch lub CarPlay), Apple przesyła tam to, co jest wyświetlane. Jeśli tworzysz skrót z bronią, rodzajem amunicji lub terminem, aplikacja Skróty zapisuje ich nazwę w skrócie i synchronizuje ją przez iCloud, jeśli synchronizacja skrótów przez iCloud jest włączona. Siri podaje terminy i stany tylko przy odblokowanym urządzeniu. To, co mówisz do Siri, Apple przetwarza na własną odpowiedzialność zgodnie ze swoimi informacjami o prywatności; aplikacja formułuje odpowiedzi na urządzeniu i przekazuje je Siri do odczytania. Czy Siri przy tym przesyła treści do Apple, zależy od Twojego urządzenia i ustawień Siri.

Wyszukiwanie Spotlight (opcjonalnie, tylko iOS)

Jeśli w sekcji Więcej → Bezpieczeństwo włączysz wyszukiwanie systemowe, iOS zapamiętuje producenta, model i kaliber Twojej broni na potrzeby systemowego wyszukiwania Spotlight — także bez otwierania aplikacji i poza blokadą aplikacji. Ustawienie jest domyślnie wyłączone. Gdy wyłączysz je ponownie albo włączysz blokadę aplikacji, indeks systemowy zostaje opróżniony i nie jest już dalej uzupełniany. Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda wyrażona przez włączenie).

Kopia zapasowa w iCloud (opcjonalnie, bez konta)

Gdy włączysz kopię zapasową w iCloud, aplikacja umieszcza zaszyfrowane pliki kopii w kontenerze iCloud Drive Twojego Apple ID (folder „Waffenschrank”). Zabezpieczana jest baza danych oraz Twoje zdjęcia i wgrane dokumenty; pliki te leżą przy kopii, każdy zaszyfrowany osobno. Szyfrowanie (AES-256-GCM) odbywa się na urządzeniu; kluczem jest wartość losowa, przechowywana wyłącznie w Twoim pęku kluczy iCloud i synchronizowana między Twoimi urządzeniami. Za przechowywanie odpowiada Apple jako dostawca Twojego konta iCloud; my nie otrzymujemy przy tym żadnych danych i nie mamy dostępu ani do plików, ani do klucza. Starsze kopie aplikacja porządkuje tam według tej samej zasady co kopie na koncie (zob. „Opcjonalne konto, kopia w chmurze i synchronizacja”). Jeśli skonfigurujesz kopię iCloud od nowa, aplikacja usunie na Twoje życzenie wszystkie kopie i pliki w tym folderze i utworzy nowy klucz; dane na Twoim urządzeniu pozostaną przy tym bez zmian. Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda wyrażona przez włączenie). Na iPhonie i iPadzie aplikacja przy pierwszym uruchomieniu sprawdza ponadto, czy w tym folderze znajduje się już kopia zapasowa powiązana z Twoim Apple ID – np. po ponownej instalacji –, nawet jeśli nie włączyłeś jeszcze kopii zapasowej w iCloud na tym urządzeniu; iOS synchronizuje w tym celu folder z iCloud jak zwykle i pobiera przy tym na urządzenie już zaszyfrowane pliki kopii, aby późniejsze przywracanie nie musiało czekać. Jeśli znajdzie kopie, pokazuje Ci przy każdej datę i rozmiar oraz – jeśli klucz jest już na urządzeniu – liczbę wpisów. Liczba ta jest zaszyfrowana w nazwie pliku; aby ją odczytać, aplikacja używa klucza wyłącznie do tej informacji i nie otwiera przy tym samej kopii. Proponowana jest ostatnia pełna kopia, niekoniecznie najnowsza. Kopia jest odszyfrowywana i przywracana dopiero po Twoim potwierdzeniu, a my nie otrzymujemy przy tym żadnych danych. Podstawa prawna tego sprawdzania: art. 6 ust. 1 lit. f RODO (abyś po ponownej instalacji miał dostęp do swojej kopii zapasowej); dla dostępu do Twojego urządzenia — § 25 ust. 2 pkt 2 niemieckiej ustawy TDDDG lub odpowiedni przepis Twojego kraju (zob. „Zasada podstawowa”).

Kopia zapasowa na Dysku Google (opcjonalnie, tylko Android, bez konta)

Gdy na Androidzie włączysz kopię zapasową, aplikacja umieszcza zaszyfrowane pliki kopii w prywatnym folderze aplikacji („appDataFolder”) na Twoim Dysku Google. Folder ten jest zastrzeżony dla aplikacji; inne aplikacje ani interfejs Dysku Google nie mają do niego dostępu. Zabezpieczana jest baza danych oraz Twoje zdjęcia i wgrane dokumenty; pliki te leżą przy kopii, każdy zaszyfrowany osobno. Szyfrowanie (AES-256-GCM) odbywa się na urządzeniu; kluczem jest wartość losowa i jest on przechowywany w Google Block Store — zaszyfrowany end-to-end, a więc dla Google nieczytelny, o ile Twoje urządzenie ma blokadę ekranu. Jeśli urządzenie nie zgłasza szyfrowania end-to-end, klucz pozostaje wyłącznie lokalnie; wtedy tylko Twój kod odzyskiwania prowadzi z powrotem do kopii. Za przechowywanie odpowiada Google jako dostawca Twojego konta Google; my nie otrzymujemy przy tym żadnych danych i nie mamy dostępu ani do plików, ani do klucza. Dostęp ogranicza się do uprawnienia „drive.appdata”; do pozostałych treści na Twoim Dysku Google aplikacja nie ma dostępu. Starsze kopie aplikacja porządkuje tam według tej samej zasady co kopie na koncie (zob. „Opcjonalne konto, kopia w chmurze i synchronizacja”). Jeśli skonfigurujesz kopię od nowa, aplikacja usunie na Twoje życzenie wszystkie kopie i pliki w tym folderze i utworzy nowy klucz; dane na Twoim urządzeniu pozostaną przy tym bez zmian. Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda wyrażona przez włączenie).

Opcjonalne konto, kopia w chmurze i synchronizacja

Konto jest dobrowolne. Zalogować się możesz adresem e-mail i hasłem, jednorazowym kodem przesłanym e-mailem, funkcją „Zaloguj się przez Apple” albo swoim kontem Google. Przy logowaniu przez Apple firma Apple przekazuje nam identyfikator i Twój adres e-mail (albo, jeśli go ukryjesz, adres przekierowujący Apple); aplikacja nie pyta o imię i nazwisko. Abyśmy przy usuwaniu konta mogli odwołać to połączenie w Apple, jak wymaga tego Apple, serwer przechowuje wydany przez Apple token odwołania; przy usuwaniu konta zostaje on wykorzystany i usunięty. W przypadku Google otrzymujemy identyfikator i Twój adres e-mail; Google przesyła przy tym także imię i nazwisko oraz zdjęcie profilowe, które nasz serwer przy zapisie odrzuca. Za sam proces logowania po swojej stronie odpowiada dany dostawca.

E-maile dotyczące konta: wiadomości e-mail dotyczące Twojego konta – potwierdzenie rejestracji, kody logowania i kody potwierdzające, potwierdzenie nowego adresu e-mail oraz powiadomienia o bezpieczeństwie, np. po zmianie hasła – tworzy usługa logowania Supabase, a wysyłane są one za pośrednictwem usługi wysyłki e-maili Resend (Plus Five Five, Inc., USA — podmiot przetwarzający). W tym celu Resend otrzymuje Twój adres e-mail i samą wiadomość wraz z kodem lub linkiem oraz odnotowuje, kiedy została wysłana i czy serwer poczty odbiorcy ją przyjął, czy odrzucił. Wiadomości są wysyłane z regionu UE Irlandia (eu-west-1); według informacji Resend wiadomości i dzienniki doręczeń są jednak przechowywane w USA. Podstawą tego przekazania jest decyzja stwierdzająca odpowiedni stopień ochrony dotycząca ram ochrony danych UE–USA (EU-U.S. Data Privacy Framework), na podstawie których Resend ma certyfikację; ponadto nasza umowa z Resend zawiera standardowe klauzule umowne UE. Według własnych informacji Resend usuwa wiadomości i dzienniki doręczeń po 30 dniach; w kopiach zapasowych Resend pozostają one najwyżej siedem dni dłużej. Nie włączyliśmy śledzenia tego, czy otwierasz wiadomość lub klikasz zawarty w niej link. Jeśli Twoja skrzynka trwale odrzuci wiadomość albo oznaczysz ją jako spam, Resend wpisuje Twój adres na listę blokowanych adresów naszego konta nadawczego, aby nie trafiały tam kolejne wiadomości; adres pozostaje na niej, dopóki go nie usuniemy – na Twoją prośbę w każdej chwili. Dane o korzystaniu ze swojej usługi, takie jak nadawca, odbiorca i dzienniki doręczeń, Resend zgodnie z umową z nami wykorzystuje także na własną odpowiedzialność, aby wykrywać nadużycia i prowadzić swoją usługę; ma do tego zastosowanie polityka prywatności Resend. Podstawa prawna: art. 6 ust. 1 lit. b RODO (udostępnienie konta); w przypadku listy blokowanych adresów art. 6 ust. 1 lit. f RODO (nasz interes w niezawodnym doręczaniu e-maili dotyczących konta).

Weryfikacja dwuetapowa (dobrowolna): jeśli ją włączysz, usługa logowania Supabase zapisuje dla każdej aplikacji uwierzytelniającej tajny klucz, z którego powstają kody (jest potrzebny do ich sprawdzania), nadaną jej przez Ciebie nazwę, datę skonfigurowania i ostatniego użycia oraz przy każdym sprawdzeniu kodu czas i adres IP — najdłużej do chwili, gdy usuniesz aplikację uwierzytelniającą albo swoje konto. Z Twoich kodów odzyskiwania zapisujemy zamiast kodu wyłącznie jego skrót (hash) i datę jego użycia; są usuwane, gdy wygenerujesz nowe albo usuniesz konto, i przestają działać, gdy tylko wyłączysz weryfikację dwuetapową. Próby użycia kodu — zarówno udane, jak i nieudane — odnotowujemy dla każdego konta na potrzeby ochrony przed nadużyciami i usuwamy je po nieco ponad dobie. Podstawa prawna: art. 6 ust. 1 lit. b RODO (udostępnienie konta).

Kopie zapasowe w chmurze i synchronizacja urządzeń są szyfrowane end-to-end (AES-256-GCM; klucz wyprowadzany na urządzeniu z Twojego hasła ochronnego, PBKDF2 z 600 000 iteracji). Nie jesteśmy w stanie odszyfrować tych treści (zero-knowledge). Ta ochrona działa, dopóki Twoje hasło ochronne jest silne i inne niż hasło do konta: hasło do konta trafia na serwer przy każdym logowaniu, hasło ochronne nigdy.

W postaci niezaszyfrowanej serwer widzi tylko kopertę: Twój adres e-mail i język wiadomości dotyczących Twojego konta (zgodny z językiem aplikacji), czas i rozmiar plików kopii zapasowej, liczbę i rozmiar zaszyfrowanych plików ze zdjęciami i dokumentami oraz — przy synchronizacji — 64 zaszyfrowane przegródki, między które aplikacja rozdziela Twoje wpisy według klucza znanego tylko Twoim urządzeniom: ich rozmiar zaokrąglony w górę do zgrubnych progów, to, jak często i w jakiej kolejności były zmieniane, oraz to, które zalogowane sesje Twojego konta obsługują tę formę synchronizacji. Da się z tego w przybliżeniu odczytać, jak duża jest łącznie Twoja kolekcja i kiedy synchronizujesz, ale nie to, jakie obszary obejmuje, ile jest wpisów ani co się w nich znajduje. Dopóki zalogowane urządzenie lub przeglądarka na Twoim koncie używa jeszcze wersji aplikacji starszej niż 2.3, aplikacja dodatkowo synchronizuje dane w dotychczasowej formie: serwer widzi wtedy przy każdym rekordzie, do której tabeli i do którego identyfikatora wiersza on należy, kiedy ostatnio go zmieniono i przesłano, a także identyfikator urządzenia, z którego pochodzi — a tym samym, ile wpisów prowadzisz w danym obszarze. Gdy tylko wszystkie zalogowane urządzenia będą używać wersji 2.3 lub nowszej, aplikacja usunie te dane z serwera; jeśli ponownie zaloguje się urządzenie ze starszą wersją, aplikacja utworzy je od nowa. Usunięte wpisy pozostają jako zaszyfrowany znacznik usunięcia, podobnie zaszyfrowane pliki usuniętych zdjęć — jedno i drugie do czasu, aż usuniesz konto albo zresetujesz dane w chmurze. Do tego dochodzi to, co odnotowuje sama usługa logowania Supabase: kiedy ostatnio się zalogowałeś; dla każdego zalogowanego urządzenia adres IP i identyfikator przeglądarki lub aplikacji — dopóki trwa tam sesja; kończy się ona po wylogowaniu lub usunięciu konta, najpóźniej jednak 30 dni po zalogowaniu albo po 14 dniach bez używania (wtedy logujesz się ponownie), a jej wpis usługa logowania usuwa planowo dzień później; dziennik logowań z adresami IP, który usuwamy po 30 dniach; oraz dzienniki dostępu platformy z czasem, adresem IP, wywołanym adresem, identyfikatorem przeglądarki lub aplikacji, sumą kontrolną przesłanego klucza logowania, przybliżoną lokalizacją, którą usługodawca sieciowy działający przed Supabase (Cloudflare) wyprowadza z adresu IP (kraj, miasto, czasem kod pocztowy, operator sieci), cechami technicznymi szyfrowanego połączenia i oceną Cloudflare, czy zapytanie jest zautomatyzowane, które Supabase usuwa najpóźniej po 90 dniach. Aby zapobiegać nadużyciom, serwer zlicza ponadto przy niektórych funkcjach serwerowych wywołania z poszczególnych adresów IP lub kont; zapisywana jest przy tym tylko suma kontrolna, którą usuwamy najpóźniej dwie godziny po pierwszym wywołaniu.

Jeśli organ lub sąd zażąda od nas danych, możemy przekazać tylko to, co u nas jest: dane konta, zakupu i koperty, opublikowane gabloty, wpisy na stronach klubowych i wiadomości do nas. Zaszyfrowanych end-to-end treści synchronizacji i kopii w chmurze nie możemy odszyfrować — nawet na polecenie — a tego, co jest tylko na Twoim urządzeniu, w Twoim iCloud lub na Twoim Dysku Google, nie mamy. Nie sprzedajemy danych osobowych i nie przekazujemy ich w celach reklamowych.

Gdy włączysz automatyczną kopię zapasową, Twoje hasło ochronne zostanie zapisane w chronionym magazynie kluczy Twojego urządzenia (Keychain lub Keystore), aby mogła ona działać bez pytania; urządzenia ono nie opuszcza. Starsze kopie w chmurze aplikacja porządkuje sama po każdej udanej kopii zapasowej: zostaje siedem najnowszych, a do tego najnowsza z każdego z ostatnich siedmiu dni, w których powstała kopia, oraz po jednej najnowszej z czterech kolejnych, starszych tygodni. Jeśli nowa kopia zawiera mniej niż jedną piątą wpisów z ostatniej pełnej kopii, aplikacja dodatkowo zachowuje tę pełną kopię – bez względu na to, z którego z Twoich urządzeń pochodzi –, dopóki któraś kopia znów nie będzie zawierać co najmniej jednej piątej tej liczby; dzięki temu po przypadkowym wyczyszczeniu danych, po ponownej instalacji i na nowym urządzeniu pozostaje pełny stan. W tym celu każda kopia nosi w nazwie pliku liczbę wpisów, zaszyfrowaną kluczem tej kopii; serwer nie widzi żadnej liczby. W przypadku kopii ze starszych wersji aplikacji bez tej informacji aplikacja porównuje rozmiary plików. Kopii ze znacznikiem czasu z przyszłości, np. wskutek błędnie ustawionego zegara urządzenia, aplikacja nie usuwa samodzielnie. Hosting: Supabase (Supabase Pte. Ltd., Singapur — podmiot przetwarzający, standardowe klauzule umowne UE); dane leżą w regionie UE Frankfurt (eu-central-1). Według informacji Supabase dostęp do nich w celu wsparcia i utrzymania usługi może mieć także Supabase, Inc. (USA) jako podmiot podprzetwarzający; również w tym zakresie obowiązują standardowe klauzule umowne UE. Również funkcje serwerowe Supabase (Edge Functions) wywoływane przez aplikację od wersji 2.8, naszą stronę internetową i naszą bazę danych działają we Frankfurcie; w przypadku starszych wersji aplikacji działają one w centrum danych najbliższym Twojemu urządzeniu, które może znajdować się także poza UE; również w tym zakresie obowiązują standardowe klauzule umowne UE. Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy). Bez konta nie zakładamy nic z tego.

Jeśli zakładasz konto, publikujesz gablotę, zakładasz klub lub do niego dołączasz albo akceptujesz w aplikacji warunki korzystania, zapisujemy jako dowód, którą wersję warunków korzystania zaakceptowano i kiedy — wraz z identyfikatorem Twojego konta lub gabloty. Dowód jest usuwany razem z kontem lub gablotą. Podstawa prawna: art. 6 ust. 1 lit. b RODO (umowa) i lit. f (dowód zawarcia umowy).

Gabloty (dobrowolne udostępnianie)

Jeśli aktywnie opublikujesz gablotę, publicznie dostępne pod nieodgadywalnym adresem stają się wyłącznie wybrane przez Ciebie dane (wraz z pomniejszonymi zdjęciami wybranych obiektów). Numery seryjne, miejsca przechowywania, stany magazynowe, ceny i dane pozwoleń są technicznie wykluczone jako pola danych. Tego, co widać na zdjęciu, aplikacja nie sprawdza: zadbaj o to, by nie dało się rozpoznać numeru seryjnego ani niczego z Twojego mieszkania; osadzone dane o lokalizacji aplikacja usuwa przed przesłaniem. Gablota działa także bez konta; przy publikowaniu i odświeżaniu aplikacja od wersji 3.5 uzyskuje poświadczenie, że żądanie pochodzi z prawdziwej aplikacji (zob. „Weryfikacja aplikacji w przypadku gabloty i formularza kontaktowego”).

Liczymy, ile razy gablota została otwarta, i pokazujemy Ci ten licznik; poszczególnych wejść nie analizujemy. Stronę gabloty dostarcza nasz dostawca hostingu Cloudflare, Inc. (podmiot przetwarzający, standardowe klauzule umowne UE), który przetwarza przy tym technicznie niezbędne dane połączenia odwiedzających. Treść przeglądarka odwiedzającego pobiera bezpośrednio z naszego serwera w Supabase; powstają przy tym te same dzienniki dostępu i to samo zliczanie w celu ochrony przed nadużyciami, które opisano w sekcji „Opcjonalne konto, kopia w chmurze i synchronizacja”. Aby opublikowana gablota nie wygasła niezauważenie, aplikacja odświeża ją sama najwyżej raz w miesiącu przy starcie. Jeśli przy publikacji lub przy takim odświeżeniu jesteś zalogowany, przypisujemy gablotę do Twojego konta, aby została usunięta wraz z nim. Każdą gablotę możesz w dowolnej chwili wyłączyć; link staje się przez to trwale nieważny. Gdy Pro się skończy, dodatkowe gabloty opublikowane przez Ciebie od wersji 2.5 zostają wstrzymane: pod ich adresem widać wtedy tylko informację, że są wstrzymane, a ich treść usuwamy z serwera najpóźniej następnego dnia. Aby tak było również wtedy, gdy przestaniesz otwierać aplikację, aplikacja przy publikacji i przy każdym odświeżeniu takiej gabloty przesyła termin: koniec znanego jej okresu Pro plus 45 dni, zaokrąglony w górę do pełnego dnia. Gablot, których zgodnie z warunkami korzystania z gablot się nie wstrzymuje, oraz zakupu jednorazowego żaden termin nie dotyczy. Termin zapisujemy przy gablocie — w przypadku gabloty bez konta tylko przy jej adresie, nie przy koncie. Gdy termin upłynie, wstrzymujemy gablotę; jeśli jest przypisana do Twojego konta, a Twoje konto ma u nas Pro, pozostaje w sieci. Z Pro aplikacja ponownie przesyła treść pod ten sam adres. Wstrzymanej gabloty aplikacja nie odświeża. Termin usuwamy razem z gablotą. Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda); w zakresie terminu i porównania ze statusem Pro Twojego konta art. 6 ust. 1 lit. b RODO (zakres Pro według naszych warunków korzystania); wobec odwiedzających art. 6 ust. 1 lit. f RODO (udostępnienie strony i ochrona przed nadużyciami).

Strony klubowe

Jeśli założysz stronę klubu albo dołączysz do istniejącej, zapisujemy w tym celu nazwę klubu, kod dołączenia, identyfikatory kont uczestników oraz wpisy, które wyraźnie tam zgłaszasz (np. wyniki w zawodach). Przechowujemy je u naszego dostawcy hostingu Supabase (zob. „Opcjonalne konto, kopia w chmurze i synchronizacja”). Dane te nie są szyfrowane end-to-end — administrator klubu musi móc je odczytać i zatwierdzić. To, co zatwierdzi, publikuje jako stronę publiczną, którą może otworzyć każdy, kto ma link: nazwę klubu i osiągnięcia bez nazwisk, ale z dyscypliną, poziomem, rokiem, miejscem, liczbą uczestników i wynikiem — w małym klubie można z tego ewentualnie wywnioskować, o kogo chodzi. Gdy administrator publikuje lub aktualizuje tę stronę, aplikacja na iPhonie, iPadzie i Androidzie od wersji 3.5 uzyskuje poświadczenie, że żądanie pochodzi z prawdziwej aplikacji (zob. „Weryfikacja aplikacji w przypadku gabloty i formularza kontaktowego”). Jeśli wycofasz wpis albo usuniesz konto, serwer od razu usuwa go także ze strony publicznej. Swoje członkostwo możesz zakończyć w każdej chwili. Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda).

Zakupy (Waffenschrank Pro)

Zakupy realizowane są przez App Store (Apple) lub Google Play; obsługę zakupu przejmuje RevenueCat (RevenueCat Inc., USA — standardowe klauzule umowne UE). SDK RevenueCat uruchamia się dopiero wtedy, gdy otworzysz stronę Pro, albo — jeśli na tym urządzeniu rozpoczęto już kiedyś zakup, zrealizowano kod lub rozpoznano Pro przez sklep — przy starcie i przy logowaniu, aby sprawdzić, czy Pro nadal obowiązuje; gdy już działa, może zgłaszać się ponownie przy każdym powrocie do aplikacji, aż do jej zamknięcia. Od wersji 2.2.1 aplikacja uruchamiana na iPhonie, iPadzie lub urządzeniu z Androidem, na którym nie zna jeszcze żadnego zakupu, najpierw sprawdza w App Store lub Google Play na Twoim urządzeniu, czy z Twojego konta Apple lub Google kupiono Pro — np. w przypadku zakupu sprzed wersji 2.2, po ponownej instalacji lub, na iPhonie i iPadzie, w ramach Chmury rodzinnej. Od wersji 2.3 sprawdza tam również za każdym razem, gdy weryfikuje, czy Pro obowiązuje, a nie zna jeszcze Pro z zakupu na tym urządzeniu, oraz gdy dotkniesz „Przywróć zakupy”. Aplikacja sprawdza przy tym tylko, czy wśród zakupów zarejestrowanych dla tej aplikacji jest zakup Pro, i sama niczego w tym celu nie wysyła — ani do nas, ani do RevenueCat; o tym, czy sklep synchronizuje przy tym swoją historię zakupów z Apple lub Google, decydują Apple lub Google, nie my. Jeśli dotkniesz „Przywróć zakupy”, RevenueCat nie odpowie i na Twoim urządzeniu nie będzie widać zakupu jednorazowego, aplikacja na iPhonie i iPadzie dodatkowo wyraźnie prosi App Store o zsynchronizowanie Twoich zakupów z Apple; Apple może przy tym zapytać o Twoje Konto Apple. Jeśli aplikacja nie znajdzie zakupu Pro, nic więcej się nie dzieje. Jeśli go znajdzie na urządzeniu, na którym nie zna jeszcze żadnego zakupu, SDK RevenueCat uruchamia się, jak opisano powyżej. W przypadku subskrypcji Pro obowiązuje dopiero po odpowiedzi SDK. Zakup jednorazowy aplikacja rozpoznaje od wersji 2.3 już po wpisie w sklepie — bez RevenueCat i bez naszych serwerów, aby obowiązywał także wtedy, gdy są one niedostępne lub już nie istnieją; kończy się to tylko wtedy, gdy sam sklep nie ma już zapisanego tego zakupu, np. po zwrocie pieniędzy. Gdy SDK RevenueCat działa, trafiają do RevenueCat identyfikator zakupu, Twój adres IP i techniczne dane urządzenia. Ostatni znany status zakupu oraz informację, czy sklep ma zapisany zakup jednorazowy, aplikacja zapisuje na urządzeniu, aby Pro obowiązywało także bez sprawdzania. Bez konta identyfikator ten jest pseudonimowym identyfikatorem losowym: nie ma związku z Twoim imieniem i nazwiskiem ani adresem e-mail, ale razem z adresem IP i danymi urządzenia zapytania z tego samego urządzenia można ze sobą powiązać. Po zalogowaniu zostaje powiązany z identyfikatorem Twojego konta, aby Pro obowiązywało na wszystkich Twoich urządzeniach. Apple i Google zgłaszają ponadto zakupy, odnowienia, anulowania i zwroty pieniędzy bezpośrednio do RevenueCat, także wtedy, gdy aplikacja nie działa; jeśli zakup należy do Twojego konta, RevenueCat przekazuje te informacje naszemu serwerowi. Zdarzenia dotyczące zakupu bez konta nasz serwer wykorzystuje wyłącznie na potrzeby podanego adresu do przypomnień (zob. „Przypomnienie przed odnowieniem”) oraz, na Twoje życzenie, do anulowania subskrypcji w Google Play (zob. niżej); w dzienniku zapisywane są wtedy tylko czas i rodzaj zdarzenia, bez identyfikatora. W tym celu nasz serwer (Supabase, zob. wyżej) zapisuje przy Twoim koncie, czy i do kiedy obowiązuje Pro oraz skąd pochodzi odblokowanie (np. zakup w sklepie lub zrealizowany kod promocyjny), wraz z identyfikatorem powiązanego zakupu albo informacją, jaki kod promocyjny zrealizowałeś i kiedy; aplikacja sprawdza to, gdy jesteś zalogowany. Jeśli masz subskrypcję w Google Play i przechodzisz na zakup jednorazowy, przed zakupem możesz wybrać, abyśmy potem anulowali ją za Ciebie: aplikacja przekazuje to życzenie wraz z czasem do RevenueCat – pozostaje ono tam przy Twoim rekordzie klienta, dopóki nie wycofasz go przed zakupem albo rekord nie zostanie usunięty – i zapamiętuje je na urządzeniu; gdy zakup jednorazowy zostanie zrealizowany, nasz serwer anuluje subskrypcję bezpośrednio w Google Play (za Google Play odpowiada sam Google): w tym celu odczytuje w RevenueCat numer zamówienia subskrypcji, pobiera dane tego zamówienia z Google, aby uzyskać z niego token zakupu, i weryfikuje stan subskrypcji; nic z tego nie jest zapisywane. Subskrypcja nie będzie się już odnawiać, a opłacony okres Ci zostaje. Danych płatniczych nigdy nie otrzymujemy. Podstawa prawna: art. 6 ust. 1 lit. b RODO (zakup, zapewnienie Pro i poprzedzające go kroki, które inicjujesz samodzielnie); dla sprawdzania w sklepie, o ile nie kupiłeś Pro, art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes w rozpoznawaniu zakupów bez przekazywania RevenueCat danych osób, które niczego nie kupiły); dla sprawdzania w sklepie na Twoim urządzeniu i zapisywania statusu zakupu na urządzeniu — § 25 ust. 2 pkt 2 niemieckiej ustawy TDDDG lub odpowiedni przepis Twojego kraju (zob. „Zasada podstawowa”).

Miejsca klubowe: Klub może na tej stronie udostępnić swoim członkom miejsca Pro i rozdać je linkiem z zaproszeniem. Jeśli realizujesz miejsce, logujesz się w tym celu na stronie swoim kontem i wybierasz nazwę wyświetlaną. Zapisujemy, do którego konta należy miejsce, nazwę wyświetlaną oraz moment realizacji i Twojej zgody; z linku z zaproszeniem — tylko sumę kontrolną. Administrator klubu widzi z tego wyłącznie Twoją nazwę wyświetlaną i datę realizacji — nigdy Twojego adresu e-mail, Twojego zbioru, Twojej broni ani tego, jak korzystasz z aplikacji. Może odebrać miejsce, a Ty możesz je w każdej chwili sam zwrócić; wtedy natychmiast usuwamy przypisanie, a na Twoim koncie zostaje tylko informacja, że Pro z miejsca klubowego się zakończyło. Jeśli okres kończy się bez przedłużenia, usuwamy przypisanie po 30 dniach. O klubie zapisujemy nazwę, liczbę miejsc, okres, identyfikator zakupu i identyfikator konta administratora. Podstawa prawna: art. 6 ust. 1 lit. b RODO; to, że klub widzi Twoją nazwę wyświetlaną i datę, opiera się na Twojej zgodzie przy realizacji (art. 6 ust. 1 lit. a RODO), którą wycofujesz, zwracając miejsce.

Dotyczy to aplikacji od wersji 2.2. Starsze wersje łączą się przy każdym uruchomieniu z obsługą zakupów (RevenueCat), aby sprawdzić status Pro.

Przypomnienie przed odnowieniem

Jeśli wykupisz Pro jako subskrypcję roczną lub kwartalną w App Store lub Google Play i jest ona powiązana z Twoim kontem Waffenschrank, około pięciu tygodni przed każdym odnowieniem wyślemy Ci wiadomość e-mail (przy zakupie w dolarach amerykańskich dodatkowo trzy tygodnie wcześniej, ponieważ prawo kilku stanów USA wymaga różnych terminów) z datą, ceną – o ile jest znana –, terminem i sposobem rezygnacji. Jeśli trwa jeszcze bezpłatny okres próbny subskrypcji rocznej wykupionej w dolarach amerykańskich, zamiast tego na trzy do czterech dni przed jego końcem wyślemy Ci wiadomość e-mail z datą, ceną obowiązującą po nim i sposobem rezygnacji, ponieważ kilka stanów USA wymaga powiadomienia przed końcem okresu próbnego; przy innych walutach o końcu okresu próbnego przypomina tylko aplikacja. Nie otrzymasz żadnej wiadomości przy subskrypcji miesięcznej, w ramach Udostępniania rodzinnego, dopóki sklep ponawia nieudane pobranie opłaty, ani jeśli subskrypcja została już anulowana. W tym celu nasz serwer (Supabase, zob. wyżej) zapisuje dodatkowo przy Twoim koncie, jaką subskrypcję i w którym sklepie kupiono, jaką kwotę w jakiej walucie zapłacono za bieżący okres i czy była to cena wprowadzająca lub specjalna; dane te przekazuje nam RevenueCat przy każdym zakupie i odnowieniu. Krótko przed wysyłką serwer sprawdza w RevenueCat, czy Twoja subskrypcja rzeczywiście się odnowi. Wiadomość wysyłamy przez Resend, jak opisano w części „E-maile dotyczące konta” – z tymi samymi informacjami o miejscu przechowywania, terminach usunięcia i liście blokowanych adresów. Nie zawiera ona niczego z Twojej ewidencji i nie sprawdzamy, czy ją otworzysz. Aby nie dotarła do Ciebie dwa razy, zapisujemy, dla którego odnowienia lub dla którego końca okresu próbnego ją wysłaliśmy – bez adresu e-mail i bez treści wiadomości; w przypadku linku do wypisania się przechowujemy tylko jego sumę kontrolną, aby działał także link z wcześniejszej wiadomości. Dane o zakupie usuwamy, gdy tylko roczna lub kwartalna subskrypcja przy Twoim koncie wygaśnie (najpóźniej dwa dni później) lub wypiszesz się z przypomnienia, zapis o wysyłce i sumy kontrolne – 13 miesięcy po odnowieniu lub wysyłce, a wszystko najpóźniej wraz z Twoim kontem. Wypisać się możesz przyciskiem „Wypisz się” w swojej aplikacji pocztowej, odpowiadając na jedną z tych wiadomości lub pisząc na kontakt@waffenschrank.app; wtedy nie wysyłamy już kolejnych i pamiętamy o tym do czasu usunięcia konta. Nie dotyczy to innych wiadomości o Twoim koncie. Bez konta aplikacja przypomina Ci o tym powiadomieniem (przy zakupie w dolarach amerykańskich dodatkowo trzy tygodnie wcześniej), jeśli zezwolisz jej na powiadomienia; jeśli nie dostajesz ani powiadomienia, ani wiadomości e-mail, na 45 dni przed odnowieniem zaczyna wyświetlać informację o nim na ekranie „Przegląd”. Jedno i drugie powstaje na Twoim urządzeniu, a aplikacja nic nam w tym celu nie wysyła; bez konta wiadomość e-mail dostaniesz tylko wtedy, gdy podasz w tym celu adres (następny akapit). Podstawa prawna: art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes w tym, by poinformować Cię z wyprzedzeniem przed pobraniem opłaty i tym samym wypełnić obowiązki, które prawo konsumenckie niektórych krajów – np. Francji, Włoch, Hiszpanii, Belgii (od maja 2027 r.), Szwecji, kilku stanów USA i prowincji Kanady – nakłada na usługodawcę).

Przypomnienie e-mailem bez konta: jeśli taką subskrypcję roczną lub kwartalną wykupiłeś bez konta Waffenschrank, możesz w aplikacji w sekcji Pro dobrowolnie podać adres e-mail tylko do tych przypomnień – przed każdym odnowieniem oraz, przy subskrypcji rocznej w dolarach amerykańskich, przed końcem okresu próbnego. Nasz serwer (Supabase, zob. wyżej) wysyła wtedy przez Resend – jak opisano w części „E-maile dotyczące konta” – najpierw wiadomość z linkiem potwierdzającym; dopiero gdy potwierdzisz adres w ciągu 48 godzin, będziemy wysyłać przypomnienie opisane wyżej, w przeciwnym razie usuniemy adres po 48 godzinach. Przechowujemy w tym celu adres, język aplikacji, losowy identyfikator, pod którym RevenueCat prowadzi Twój zakup bez konta, sumę kontrolną losowego klucza, za pomocą którego tylko Twoja aplikacja może sprawdzić i usunąć wpis, walutę, w której kupiłeś subskrypcję roczną na tym urządzeniu (o ile aplikacja ją zna), dane zakupu i zapisy o wysyłce jak wyżej oraz sumy kontrolne linków w naszych wiadomościach. Przy podaniu adresu i przed każdą wysyłką serwer pyta RevenueCat, posługując się tym identyfikatorem, czy masz subskrypcję roczną lub kwartalną z App Store lub Google Play. Aby zapobiegać nadużyciom, liczymy próby według identyfikatora, adresu i adresu IP – wyłącznie jako sumę kontrolną, którą usuwamy najpóźniej po dwóch godzinach. Adresu nie używamy do niczego innego – bez reklam i newslettera – i nie łączymy go z żadnym kontem. Możesz go usunąć w każdej chwili w aplikacji, linkiem w każdej z tych wiadomości, przyciskiem „Wypisz się” w swojej aplikacji pocztowej, odpowiadając na jedną z tych wiadomości lub pisząc na kontakt@waffenschrank.app; wtedy od razu usuwamy adres wraz ze wszystkimi powiązanymi danymi. Gdy Twoja subskrypcja roczna lub kwartalna się skończy, usuwamy wszystko najpóźniej dwa dni później; jeśli zalogujesz się w aplikacji na konto, aplikacja usunie adres, bo przypomnienie trafia wtedy na adres Twojego konta. Podstawa prawna: art. 6 ust. 1 lit. a RODO (Twoja zgoda, którą wyrażasz, podając adres, a linkiem potwierdzającym potwierdzasz, że to Twój adres; możesz ją w każdej chwili wycofać ze skutkiem na przyszłość, usuwając adres); dla liczenia prób w celu zapobiegania nadużyciom art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes w tym, by nikomu nie wysyłać niechcianych wiadomości).

Raporty o awariach (tylko za zgodą)

Raporty o awariach aplikacja wysyła tylko za Twoją zgodą; domyślnie są wyłączone. Najwcześniej trzy dni po pierwszym uruchomieniu pyta Cię raz, czy może wysyłać raporty o awariach; obie odpowiedzi są równorzędne, a potem już nie pyta ponownie. Dowód Twoich odpowiedzi na to pytanie i na pytania poniżej (ostatnich dziesięć, każda z czasem, drogą i wersją pytania) aplikacja zapisuje na urządzeniu, aby się ich trzymać; dowód ten nie opuszcza urządzenia. Twój wybór obowiązuje na urządzeniu, na którym go dokonujesz: kopie zapasowe go nie zabierają, a gdy przywrócisz jakąś kopię, wybór na tym urządzeniu pozostaje taki, jaki jest. Na nowym urządzeniu raporty o awariach są najpierw wyłączone, a jednorazowe pytanie pojawia się tam najwcześniej trzy dni po pierwszym uruchomieniu na tym urządzeniu. Swój wybór możesz w każdej chwili zmienić w sekcji Więcej → Bezpieczeństwo. Jeśli nie ma Twojej zgody, po awarii aplikacja pyta, czy może wysłać raport o właśnie tej awarii (zob. niżej). Usługodawcą jest Sentry (Functional Software, Inc., USA — podmiot przetwarzający; podstawą przekazania jest decyzja stwierdzająca odpowiedni stopień ochrony dotycząca ram ochrony danych UE–USA (EU-U.S. Data Privacy Framework), na podstawie których Sentry ma certyfikację; ponadto nasza umowa z Sentry zawiera standardowe klauzule umowne UE); raporty trafiają do punktu odbioru w UE, w Niemczech. W wersjach starszych niż 2.5 na iPhonie i iPadzie, dopóki raporty są włączone, biblioteka Sentry przy starcie i przy zmianie sieci zleca ponadto rozwiązanie nazwy sentry.io przez serwer nazw (DNS), z którego korzysta Twoje urządzenie, aby rozpoznać, czy sieć jest dostępna; zapytanie nie zawiera raportu ani treści z aplikacji, ale ten, kto na nie odpowiada (zwykle Twój dostawca internetu lub sieci Wi-Fi), może zobaczyć, że z Twojego adresu IP wysyłane jest zapytanie o tę nazwę, oraz kiedy to następuje. Od wersji 2.5 biblioteka rozpoznaje dostępność sieci bez takiego zapytania. Tylko w wersjach starszych niż 2.2.1 jedna informacja jest wysyłana także bez tej zgody: jeśli aplikacja przy poprzednim uruchomieniu uległa awarii, w tych wersjach zapytanie o aktualizację przy następnym starcie zawiera również komunikat o błędzie (zob. „Co dzieje się przy starcie — także bez konta”).

Raport zawiera komunikat błędu wraz z miejscem w programie, w którym wystąpił, wersję aplikacji, model urządzenia, wersję systemu operacyjnego, język i strefę czasową oraz mocno skrócony ślad ostatnich kroków: wyłącznie zmiany ekranów z zamaskowanymi identyfikatorami i wywołania sieciowe ze skróconym adresem. Tytuły ekranów, wprowadzane dane, komunikaty konsoli i identyfikator Twojego konta są wyraźnie odfiltrowane, treści z Twojej kolekcji nie trafiają więc do raportu. Wyjątkiem jest sam tekst komunikatu błędu: jest przesyłany w całości, ponieważ bez komunikatu nie da się odnaleźć błędu — w pojedynczych przypadkach może się w nim znaleźć wartość z Twoich danych. Od wersji 2.2.1 raport nie zawiera już identyfikatora urządzenia: identyfikator, który biblioteka Sentry sama dołącza — na Androidzie losowy, trwały identyfikator Twojej instalacji, na iPhonie i iPadzie sumę kontrolną z identyfikatora urządzenia dla tej aplikacji i modelu urządzenia — aplikacja usuwa przed wysłaniem, także przy awariach w natywnych częściach programu. Starsze wersje nadal go wysyłają; ich raporty są pseudonimowe, można je więc powiązać ze sobą, ale nie z Twoim kontem. Również raport bez identyfikatora urządzenia nie jest anonimowy: usługodawca ze względów technicznych otrzymuje go wraz z Twoim adresem IP, a komunikat błędu może zawierać wartość z Twoich danych. Raport wysłany pojedynczo (zob. niżej) zawiera te same informacje, bez śladu ostatnich kroków.

Podstawa prawna: art. 6 ust. 1 lit. a RODO; zgodę możesz w każdej chwili wycofać. Wycofanie działa natychmiast: aplikacja w tej samej chwili przerywa zbieranie danych o awariach, bez ponownego uruchamiania. Zawieszeń ani sesji zakończonych przez system w ogóle nie rejestruje — tylko rzeczywiste awarie: błędy, po których aplikacja jest zakończona albo zamiast ekranu pokazuje swój ekran błędu. Za awarię uznaje się też błąd, po którym nie da się dalej korzystać z aplikacji — na przykład gdy przy uruchomieniu nie można otworzyć bazy danych albo po aktualizacji nie można jej przebudować. Aplikacja wysyła wtedy najwyżej jeden raport na każdą aktualizację i błąd; w miejscu komunikatu błędu znajduje się w nim tylko identyfikator błędu, a żadnych treści z Twojej kolekcji raport nie zawiera. Bez Twojej zgody obowiązuje: jeśli aplikacja pokazuje swój ekran błędu, pyta tam, czy może wysłać raport o tym błędzie; jeśli odmówisz, niczego nie zapisuje. Gdy ulegnie awarii, zapisuje na Twoim urządzeniu raport — przy błędzie w części JavaScript komunikat błędu (do 1024 znaków), miejsce w programie, czas, wersję aplikacji i systemu oraz typ urządzenia, przy awarii w natywnych częściach programu podsumowanie z dziennika awarii, który iOS lub Android i tak prowadzi (rodzaj awarii, stos wywołań jako adresy pamięci, czas, wersja aplikacji i systemu, typ urządzenia). Jest co najwyżej jeden taki raport, najnowszy; leży w folderze danych aplikacji, jest wyłączony z kopii zapasowej urządzenia i sam nie opuszcza urządzenia. Gdy znów otworzysz aplikację, pyta ona, czy może go wysłać; wysyłany jest tylko ten jeden raport, a podstawą prawną jest wtedy Twoja zgoda (art. 6 ust. 1 lit. a RODO). Po wysłaniu lub odmowie aplikacja go usuwa, najpóźniej po 30 dniach. Jeśli odmówisz dwa razy z rzędu, przestaje pytać i niczego już nie zapisuje; pytanie możesz też sam wyłączyć w sekcji Więcej → Bezpieczeństwo. Dla zapisu na urządzeniu i odczytu dziennika awarii: art. 6 ust. 1 lit. f RODO (nasz uzasadniony interes, by po awarii dać Ci wybór, czy wysłać raport) oraz § 25 ust. 2 pkt 2 niemieckiej ustawy TDDDG lub odpowiedni przepis Twojego kraju (zob. „Zasada podstawowa”).

Co otrzymujemy z App Store i Google Play

Apple i Google udostępniają nam zbiorcze statystyki (np. liczbę instalacji, zakupów i aktywnych urządzeń, także w podziale na to, czy ktoś trafił przez udostępniony link do aplikacji, czy przez link na naszej stronie internetowej), dzienniki awarii z urządzeń, których właściciele zgodzili się na udostępnianie danych deweloperom aplikacji, w przypadku wersji testowych opinie testerów wraz z ich adresem kontaktowym oraz publiczne oceny i recenzje wraz z nazwą wybraną tam przez autora, na które możemy odpowiadać. Dane te Apple i Google zbierają na własną odpowiedzialność; wykorzystujemy je, aby usuwać błędy, odpowiadać na pytania i sprawdzać, jakimi drogami użytkownicy znajdują aplikację. Nie łączymy ich z Twoim kontem. Podstawa prawna: art. 6 ust. 1 lit. f RODO (usuwanie błędów, odpowiadanie na opinie i zbiorczy pomiar zasięgu).

Informacja o wieku z App Store i Google Play

Niektóre stany USA wymagają od aplikacji dystrybuowanych przez sklep z aplikacjami, aby pobierały ze sklepu informację o wieku i ją uwzględniały. Dlatego od wersji 2.5 aplikacja prosi App Store firmy Apple („Declared Age Range”) na iPhonie i iPadzie (od iOS 26.2) oraz Google Play („Play Age Signals”) na Androidzie o przedział wiekowy, który sklep przypisuje do Twojego konta Apple lub Google — przy pierwszym uruchomieniu, potem najwyżej raz na dwanaście miesięcy i za każdym razem, gdy zakładasz konto. Na iPhonie i iPadzie pyta tylko wtedy, gdy system zgłasza, że do Twojego Konta Apple mają zastosowanie takie przepisy; na Androidzie tylko wtedy, gdy w aplikacji wybrałeś jako kraj USA. Aplikacja nigdy nie otrzymuje Twojej daty urodzenia i sprawdza wyłącznie, czy według sklepu masz mniej niż 18 lat, czy co najmniej 18. Jeśli sklep zgłosi, że masz mniej niż 18 lat, aplikacja blokuje zakładanie konta, publikowanie gabloty, zakładanie strony klubu, dołączanie do klubu, wysyłanie osiągnięć i kupno Pro; jeśli w takim przypadku przy logowaniu przez Apple lub Google powstanie nowe konto, aplikacja natychmiast je usuwa. Jeśli to się nie powiedzie, np. z powodu braku połączenia, nasz serwer usuwa takie konto podczas codziennego przebiegu najwcześniej trzy dni po jego utworzeniu, zwykle w ciągu kolejnego dnia, i w ten sam sposób co „Usuń konto”. Warunkiem jest to, że po pierwszych dziesięciu minutach nikt nie był już na nie zalogowany i że nie zawiera ono ani treści, ani zakupu; jeśli nie ma pewności, że każdy z tych warunków jest spełniony, konto pozostaje, a usuwamy je na Twoją prośbę wysłaną na adres kontakt@waffenschrank.app. Nadal możesz zalogować się na istniejące konto; aplikacja na Twoim urządzeniu pozostaje dostępna i nic z Twoich danych nie zostaje usunięte. Wynik pozostaje wyłącznie w pamięci operacyjnej do zamknięcia aplikacji: nie jest ani zapisywany, ani wysyłany do nas czy do innych podmiotów, nawet razem z raportami o awariach. Na urządzeniu zapisywane są wyłącznie data i godzina ostatniego zapytania, aby aplikacja nie pytała częściej, niż jest to dozwolone; zostają one usunięte wraz z aplikacją. O tym, jak Apple i Google ustalają Twój wiek i czy proszą Cię przy tym o zgodę, decydują na własną odpowiedzialność. Podstawa prawna: art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes w udostępnianiu konta, gabloty, strony klubu i Pro wyłącznie osobom dorosłym oraz w przestrzeganiu przepisów obowiązujących tam, gdzie aplikacja jest oferowana); dla zapytania do sklepu na Twoim urządzeniu i zapisania daty i godziny — § 25 ust. 2 pkt 2 niemieckiej ustawy TDDDG lub odpowiedni przepis Twojego kraju (zob. „Zasada podstawowa”).

Kontakt i zgłoszenie problemu

Jeśli korzystasz z formularza kontaktowego, przetwarzamy Twoją wiadomość, wybraną kategorię, opcjonalnie Twój adres e-mail (do pytań zwrotnych) oraz — jeśli zostawisz zaznaczone pole wyboru — dane techniczne: wersję aplikacji, identyfikator aktualizacji, kanał dystrybucji, platformę i wersję systemu operacyjnego. Zgłoszenia przechowujemy u naszego dostawcy hostingu Supabase (zob. „Opcjonalne konto, kopia w chmurze i synchronizacja”); przy wysyłaniu aplikacja od wersji 3.5 uzyskuje poświadczenie, że wiadomość pochodzi z prawdziwej aplikacji, a razem ze zgłoszeniem nic z tego nie jest zapisywane (zob. „Weryfikacja aplikacji w przypadku gabloty i formularza kontaktowego”). Jeśli jesteś zalogowany, zapisujemy też identyfikator Twojego konta, abyśmy mogli przyporządkować Twoje zgłoszenie. Abyśmy mogli szybko przeczytać zgłoszenie i odpowiedzieć Ci bezpośrednio, nasz serwer wysyła je za pośrednictwem usługi wysyłkowej Resend (zob. „E-maile dotyczące konta”) jako e-mail do naszej skrzynki kontakt@waffenschrank.app – z kategorią, wiadomością i czasem, z platformą, jeśli dołączasz dane techniczne, oraz z Twoim adresem e-mail jako adresem do odpowiedzi, jeśli go podasz. Pozostałe dane techniczne i identyfikator Twojego konta nie są przesyłane. Resend usuwa tę wiadomość po 30 dniach (w swoich kopiach zapasowych do siedmiu dni później); w naszej skrzynce obowiązuje dla niej to samo, co w części „Gdy do nas piszesz”. Jeśli podasz adres e-mail, aplikacja pyta nasz serwer (Supabase) już przed wysłaniem – krótko po tym, jak wpiszesz adres lub otworzysz wersję roboczą z adresem, a więc także wtedy, gdy wiadomości nigdy nie wyślesz – czy jego domena (tylko część po znaku @) może odbierać e-maile, abyśmy mogli zwrócić Ci uwagę na literówkę; serwer otrzymuje przy tym, jak przy każdym zapytaniu, Twój adres IP, sprawdza domenę w systemie nazw domen (DNS) i samej domeny ani nie zapisuje, ani nie rejestruje. Podstawa prawna: art. 6 ust. 1 lit. f RODO (obsługa Twojego zgłoszenia), w przypadku zalogowanych użytkowników jednocześnie art. 6 ust. 1 lit. b RODO. Zgłoszenia usuwamy najpóźniej dwanaście miesięcy po ich otrzymaniu, a wraz z Twoim kontem także wcześniej.

Weryfikacja aplikacji w przypadku gabloty i formularza kontaktowego

Gabloty i formularz kontaktowy działają bez konta, a przez to przyciągają nadużycia, na przykład cudze lub niezgodne z prawem zdjęcia pod naszym adresem albo masowe wiadomości do naszej skrzynki. Dlatego od wersji 3.5 aplikacja na iPhonie, iPadzie i Androidzie uzyskuje poświadczenie, że takie żądanie pochodzi z niezmodyfikowanej aplikacji Waffenschrank na prawdziwym urządzeniu: gdy publikujesz gablotę lub aplikacja ją odświeża, gdy jako administrator publikujesz lub aktualizujesz stronę klubu oraz gdy wysyłasz formularz kontaktowy. W tym celu aplikacja pobiera z naszego serwera (Supabase, zob. „Opcjonalne konto, kopia w chmurze i synchronizacja”) wartość losową, która obowiązuje pięć minut i może zostać wykorzystana tylko raz; przy tym powstają te same dzienniki dostępu, a to, ile takich wartości losowych może pobrać jeden adres IP, serwer ogranicza tym samym zliczaniem nadużyć – jedno i drugie tak, jak opisano w części „Opcjonalne konto, kopia w chmurze i synchronizacja”. Do poświadczenia trafiają poza nią wyłącznie sumy kontrolne – w przypadku gabloty lub strony klubu suma jej adresu, w przypadku formularza kontaktowego suma Twojej wiadomości –, nigdy sama treść. Na iPhonie i iPadzie aplikacja korzysta w tym celu z App Attest firmy Apple: przy pierwszym użyciu urządzenie tworzy w swoim chipie zabezpieczającym klucz, który go nie opuszcza, i raz daje go poświadczyć firmie Apple; Apple zlicza przy tym, według własnych informacji, ile takich kluczy poświadczono dla aplikacji na Twoim urządzeniu. Potem urządzenie podpisuje każde żądanie samo, bez pytania Apple. Identyfikator klucza aplikacja zapisuje w pęku kluczy tego urządzenia, bez synchronizacji z iCloud; może tam pozostać także po usunięciu aplikacji, ale jest wtedy bezużyteczny. Nasz serwer zapisuje identyfikator i publiczną część klucza wraz z licznikiem i dniem ostatniego użycia – bez powiązania z Twoim kontem, adresem IP, gablotą ani wiadomością – i usuwa je 90 dni po ostatnim użyciu. Na Androidzie aplikacja prosi o poświadczenie Google Play na Twoim urządzeniu (Play Integrity). Google Play sprawdza w tym celu, według informacji Google, Twoje urządzenie, aplikację i jej status licencji w Google Play i zwraca zaszyfrowaną odpowiedź; za to, co Google Play przy tym przetwarza, odpowiada Google (Google Ireland Limited) na podstawie własnych warunków. Nasz serwer każe odszyfrować odpowiedź spółce Google LLC (USA – podstawą przekazania jest decyzja stwierdzająca odpowiedni stopień ochrony dotycząca ram ochrony danych UE–USA, na podstawie których Google ma certyfikację) i odczytuje z niej tylko, czy należy do tego żądania, czy Google Play rozpoznaje aplikację i czy urządzenie przechodzi weryfikację; nic z tego nie jest zapisywane. Wynik weryfikacji aplikacja otrzymuje jako jednorazowy token, który obowiązuje dziesięć minut; wysyła go razem z gablotą lub wiadomością, a serwer usuwa go przy wykorzystaniu. Zliczane jest tylko, ile weryfikacji tygodniowo, według sposobu i platformy, było ważnych, nieważnych lub bez poświadczenia i z jakiego powodu, bez identyfikatora; te liczby przechowujemy 13 miesięcy. Jeśli brakuje ważnego poświadczenia – na przykład w aplikacji webowej, w wersjach aplikacji sprzed 3.5, na urządzeniach bez tej funkcji lub bez usług Google Play –, serwer może odrzucić gablotę lub wiadomość albo ograniczyć je ściślej; e-mailem na kontakt@waffenschrank.app możesz się z nami skontaktować zawsze. Obecnie serwer tylko zlicza i niczego nie odrzuca. Jeśli weryfikacja jest na naszym serwerze wyłączona, aplikacja nie pyta ani Apple, ani Google. Podstawa prawna: art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes w ochronie gablot i skrzynki przed nadużyciami); dla utworzenia i używania klucza, zapisania jego identyfikatora i zapytania do Google Play § 25 ust. 2 pkt 2 niemieckiej ustawy TDDDG lub odpowiedni przepis Twojego kraju (zob. „Zasada podstawowa”).

Gdy do nas piszesz

Jeśli piszesz do nas na adres kontakt@waffenschrank.app, przetwarzamy Twój adres e-mail, Twoje imię i nazwisko, o ile je podasz, oraz treść wiadomości, aby Ci odpowiedzieć (art. 6 ust. 1 lit. f RODO; jeśli chodzi o umowę z nami — lit. b). Naszą skrzynkę pocztową prowadzi Microsoft (Microsoft Ireland Operations Limited, podmiot przetwarzający; przekazywanie do Microsoft Corporation w USA opiera się na decyzji stwierdzającej odpowiedni stopień ochrony dotyczącej ram ochrony danych UE–USA (EU-U.S. Data Privacy Framework); ponadto nasza umowa z firmą Microsoft zawiera standardowe klauzule umowne UE). Wiadomości e-mail usuwamy, gdy Twoja sprawa zostanie załatwiona, najpóźniej dwanaście miesięcy po ich otrzymaniu — chyba że prawo handlowe lub podatkowe wymaga dłuższego przechowywania (do sześciu lub dziesięciu lat).

Zgłoszenia na podstawie aktu o usługach cyfrowych (rozporządzenie (UE) 2022/2065, DSA): jeśli zgłaszasz nam treść w gablocie lub na stronie klubu, przetwarzamy dane z Twojego zgłoszenia — w tym imię i nazwisko oraz adres e-mail — aby je rozpatrzyć i przekazać Ci naszą decyzję (art. 6 ust. 1 lit. c RODO w zw. z art. 16 DSA). Osoba, która zamieściła treść, nie dowie się od nas Twojego imienia i nazwiska, chyba że jesteśmy do tego zobowiązani przez prawo. Imię i nazwisko oraz adres e-mail ze zgłoszenia usuwamy sześć miesięcy po naszej decyzji; samą decyzję — jaka treść, kiedy, dlaczego — przechowujemy do końca trzeciego roku po niej, aby móc ją udokumentować (art. 6 ust. 1 lit. f RODO).

Uzupełnianie z linków sklepowych

Jeśli wkleisz link do sklepu i zlecisz uzupełnienie z niego danych, Twoje urządzenie wywołuje tę obcą stronę bezpośrednio samo — bez pośrednictwa z naszej strony. Sklep poznaje przy tym, jak przy każdym wywołaniu strony, Twój adres IP oraz to, którą stronę pobierasz; na jego przetwarzanie danych nie mamy wpływu i nic z tego nie otrzymujemy. Podstawa prawna: art. 6 ust. 1 lit. a RODO (zgoda wyrażona przez uruchomienie funkcji).

Jak długo przechowujemy dane

To, co jest zapisane na Twoim urządzeniu, zostaje tam, dopóki tego nie usuniesz — nie mamy do tego dostępu i nie możemy tego ani zobaczyć, ani usunąć. Przed aktualizacją, która przebudowuje bazę danych, i przed przywróceniem kopii zapasowej aplikacja tworzy na urządzeniu kopię Twojej bazy danych, aby w razie niepowodzenia można było wszystko cofnąć; jest ona wyłączona z kopii zapasowej urządzenia. To, co usuwasz pojedynczo, pozostaje w niej do czasu usunięcia kopii: kopię sprzed przywrócenia aplikacja usuwa po siedmiu dniach, a spośród kopii sprzed aktualizacji zachowuje dwie najnowsze. W aplikacji webowej obowiązuje to tylko z zastrzeżeniem: dopóki przeglądarka nie przyzna trwałej pamięci, może sama usunąć dane, gdy brakuje miejsca lub po dłuższym nieużywaniu – Safari na przykład wtedy, gdy strona nie była otwierana przez siedem dni. Aplikacja webowa prosi przeglądarkę o trwałą pamięć i pokazuje, czy ją przyznała; nie zastępuje to regularnych kopii zapasowych. Aby aplikacja webowa uruchamiała się także bez połączenia z siecią, zapisuje za pośrednictwem service workera w pamięci Twojej przeglądarki własne pliki programu (kod, czcionki, obrazy); nie ma w nich niczego z Twojej kolekcji ani żadnych danych o Tobie, a nowa wersja usuwa stare (§ 25 ust. 2 pkt 2 niemieckiej ustawy TDDDG lub odpowiedni przepis Twojego kraju, zob. „Zasada podstawowa”). To, co należy do konta, zostaje tak długo, jak długo konto istnieje: gdy je usuniesz, w tej samej operacji znikają pliki kopii zapasowych, dane synchronizacji, Twoje gabloty (o ile należą do Twojego konta albo zostały opublikowane na urządzeniu, na którym usuwasz konto), Twoje wpisy na stronach klubowych i Twoje wiadomości do nas. Jednocześnie usuwamy Twój rekord klienta w RevenueCat; dowody zakupu i faktury pozostają tam, gdzie zostały wystawione (Apple lub Google), tak długo, jak wymaga tego prawo podatkowe. Jeśli usunięcie w RevenueCat wyjątkowo się nie powiedzie, historia zakupów pozostaje tam pod identyfikatorem Twojego konta, dopóki nie poprosisz nas o jej usunięcie (kontakt@waffenschrank.app). To, co usuwamy w bazie danych, znika z kopii zapasowych naszego dostawcy hostingu dopiero wraz z ich wygaśnięciem: Supabase codziennie tworzy kopię zapasową bazy danych i w naszym obecnym planie przechowuje każdą kopię przez siedem dni. Do tego czasu znajduje się w niej jeszcze to, co przed usunięciem było w bazie danych — na przykład Twój adres e-mail, zaszyfrowane dane synchronizacji, gabloty, wpisy klubowe i wiadomości; pliki kopii zapasowych, zdjęć i dokumentów do niej nie należą. To samo dotyczy wszystkiego, co usuwasz pojedynczo. Z tych kopii korzystamy wyłącznie po to, by przywrócić działanie usługi po poważnej awarii.

Ponadto obowiązują stałe terminy. Starsze kopie w chmurze aplikacja porządkuje sama, według podanej wyżej reguły. Opublikowana gablota jest usuwana automatycznie dwanaście miesięcy po ostatnim odświeżeniu; dopóki korzystasz z aplikacji, odświeża ona aktywną gablotę najwyżej raz w miesiącu, a wstrzymanej wcale. Gdy upłynie termin dodatkowej gabloty (zob. „Gabloty”), usuwamy jej treść z serwera przy najbliższym codziennym przebiegu. Konto założone za pomocą Apple lub Google od 14 października 2026 r., na które po pierwszych dziesięciu minutach nikt nie był już zalogowany, które nie zawiera ani treści, ani zakupu i dla którego nie zapisano zgody na warunki korzystania, usuwamy najwcześniej trzy dni po jego utworzeniu (warunki korzystania, pkt 4 ust. 1 lit. b). Sumy kontrolne ze zliczania w celu ochrony przed nadużyciami usuwamy najpóźniej dwie godziny po pierwszym wywołaniu; są one tworzone przy użyciu klucza generowanego codziennie od nowa, który usuwamy po jednym dniu, tak że potem nie da się z nich odtworzyć ani adresu IP, ani konta. Z weryfikacji aplikacji w przypadku gabloty i formularza kontaktowego usuwamy klucze z iPhone’a i iPada 90 dni po ich ostatnim użyciu, wartości losowe i jednorazowe tokeny – gdy tylko zostaną wykorzystane, najpóźniej 30 minut po wydaniu, a cotygodniowe zliczenia bez identyfikatora – po 13 miesiącach. Z rozliczenia zakupów pozostaje przez 30 dni zapis o czasie i rodzaju zdarzenia wraz z identyfikatorem konta — bez cen i bez adresu e-mail. Zgłoszenia usuwamy najpóźniej dwanaście miesięcy po ich otrzymaniu, a wraz z Twoim kontem także wcześniej. Raporty o awariach usuwa nasz usługodawca Sentry po upływie ustawionego tam okresu przechowywania, najpóźniej 90 dni od wpłynięcia raportu. Serwery, które udostępniają naszą stronę internetową i aplikację webową (Cloudflare, Inc. — podmiot przetwarzający, standardowe klauzule umowne UE), przy udostępnianiu nieuchronnie przetwarzają dane połączenia każdego wywołania, w tym adres IP, identyfikator przeglądarki i przybliżoną lokalizację. Nie prowadzimy tam logów poszczególnych wywołań; liczymy jedynie przejścia do sklepu, bez adresów IP (zob. „Ta strona”). Przechowywane są tam co najwyżej komunikaty o błędach naszych programów serwerowych, przez okres nieprzekraczający siedmiu dni; danych połączenia programy te do nich nie zapisują. Jeśli reguła ochronna Cloudflare odrzuci żądanie jako atak, Cloudflare może odnotować to jako zdarzenie bezpieczeństwa wraz z adresem IP — przez okres, który Cloudflare na to przewiduje. Podstawa prawna: art. 6 ust. 1 lit. f RODO (działanie usługi, zabezpieczenie i wyszukiwanie błędów). Ani usługa aktualizacji, ani sprawdzanie katalogów w aplikacji nie zapisują takich logów.

Ta strona

Przy otwarciu strony waffenschrank.app nasz dostawca hostingu Cloudflare, Inc., USA (jako podmiot przetwarzający, standardowe klauzule umowne UE) przetwarza technicznie niezbędne dane połączenia (adres IP, czas, żądany zasób), aby dostarczyć i zabezpieczyć stronę; dostarczana jest ona z ogólnoświatowej sieci Cloudflare, a nie z serwera w jednym stałym miejscu. Aby strona mogła pokazać ceny w walucie Twojego kraju i zaproponować właściwy język, Cloudflare przekazuje jej kraj, z którego ją otwierasz, oraz języki Twojej przeglądarki; nie zapisujemy ani jednego, ani drugiego. Podstawa prawna: art. 6 ust. 1 lit. f RODO. Sami nie używamy plików cookie ani nie osadzamy czcionek, skryptów czy obrazów z obcych serwerów. To, który sklep strona Ci proponuje przez przyciski sklepów albo przez kod QR na komputerze (waffenschrank.app/app), zależy wyłącznie od typu urządzenia, który Twoja przeglądarka i tak przesyła (na przykład Android lub iPhone). W przypadku przycisków sklepów u góry wielu stron i kodów QR liczymy ponadto, jak często ktoś przechodzi do sklepu: zapisujemy tylko stronę lub rodzaj strony, z której nastąpiło kliknięcie, jej wersję językową lub krajową, to, czy przejście nastąpiło przez przycisk sklepu, czy przez kod QR, docelowy sklep, czas oraz to, czy żądanie wyglądało na wysłane przez program automatyczny, np. wyszukiwarkę – bez adresu IP, bez identyfikatora urządzenia czy przeglądarki, bez plików cookie, bez niczego, co prowadziłoby do Ciebie. Dane te przechowuje Cloudflare; są usuwane po trzech miesiącach i nikomu nie są przekazywane. Dzięki nim widzimy, które strony prowadzą czytelników do aplikacji. Podstawą prawną jest także tu art. 6 ust. 1 lit. f RODO; na Twoim urządzeniu nic się w tym celu nie zapisuje. Odnośniki do App Store i Google Play zawierają ponadto oznaczenie strony lub rodzaju strony, z której pochodzą (np. „web-start”), takie samo dla wszystkich odwiedzających; na tej podstawie Apple i Google pokazują nam w zbiorczych statystykach, przez które strony ludzie trafiają do aplikacji. Za to, co Apple i Google przetwarzają po otwarciu swojej strony w sklepie, odpowiadają one same. W Twojej przeglądarce zostają najwyżej dwie rzeczy: wybór języka, aby podpowiedź o języku nie wracała, oraz – tylko jeśli wybierzesz tam „Auf diesem Gerät merken” (zapamiętaj na tym urządzeniu) – to, co wpiszesz w pomocy do wypełniania wniosku o WBK; bez tego wyboru dane są przechowywane tylko do zamknięcia karty. Zapamiętane dane pomoc usuwa przy następnym otwarciu, jeśli Twój ostatni wpis jest starszy niż 30 dni. Żadna z nich nie opuszcza przeglądarki; usuwasz je, czyszcząc dane witryny.

Na stronach miejsc klubowych (waffenschrank.app/verein) logujesz się swoim kontem. Twoja przeglądarka łączy się w tym celu bezpośrednio z naszym serwerem w Supabase (tym samym co przy koncie, zob. wyżej); jeśli logujesz się przez Google, strona przekierowuje Cię do Google i z powrotem. Logowanie, link z zaproszeniem do czasu realizacji oraz — przy logowaniu przez Google — jednorazowa wartość kontrolna są przechowywane tylko w pamięci sesji przeglądarki i znikają, gdy zamkniesz kartę; plików cookie nie ustawiamy także tam.

Nasz profil w mediach społecznościowych

Waffenschrank ma profil na Instagramie (instagram.com/waffenschrank.app). Ani strona, ani aplikacja nie osadzają niczego z Instagrama – żadnych przycisków, osadzonych postów ani pikseli śledzących. Nasze linki do niego są zwykłymi odnośnikami: dopiero gdy w któryś klikniesz albo sam otworzysz Instagram, jego operator przetwarza Twoje dane na własnych warunkach – także we własnych celach, takich jak reklama, i również wtedy, gdy nie masz tam konta. O tym przetwarzaniu decyduje operator; to, gdzie możemy ponosić za nie współodpowiedzialność, opisujemy w akapicie o Instagramie.

Co sami tam przetwarzamy: to, co do nas piszesz (komentarze, oznaczenia, wiadomości prywatne), to, czy nas obserwujesz lub reagujesz na nasze posty, Twoją nazwę profilu oraz to, co Twój profil pokazuje publicznie, w zakresie, w jakim to przy tym widzimy. Korzystamy z tego, aby Ci odpowiedzieć i prowadzić nasz profil. Podstawą prawną jest nasz prawnie uzasadniony interes w informowaniu o Waffenschrank i w kontakcie z osobami zainteresowanymi oraz użytkownikami (art. 6 ust. 1 lit. f RODO); jeśli Twoja wiadomość dotyczy umowy z nami, na przykład zakupu – art. 6 ust. 1 lit. b RODO. Łączymy to z Twoim kontem Waffenschrank tylko wtedy, gdy o to poprosisz. Rozmowy usuwamy po naszej stronie najpóźniej dwanaście miesięcy po ostatniej wiadomości, o ile serwis na to pozwala; to, co sam napisałeś, zwykle możesz tam sam usunąć, a serwis przechowuje dane według własnych terminów.

Instagram: operatorem dla użytkowników w UE jest Meta Platforms Ireland Limited (Dublin, Irlandia). Dla naszego profilu Meta tworzy statystyki („Insights”) – na przykład ile osób widzi profil i nasze posty oraz wchodzi z nimi w interakcję, w podziale według cech takich jak grupa wiekowa, płeć czy miejsce. Widzimy z tego wyłącznie zbiorcze liczby, a nie poszczególne osoby. Za te statystyki możemy być współadministratorem razem z Meta (art. 26 RODO; TSUE, wyrok z 5 czerwca 2018 r., C-210/16). Meta opublikowała w tym celu porozumienie (facebook.com/legal/terms/page_controller_addendum), zgodnie z którym przejmuje główną odpowiedzialność, także za informacje wymagane przez art. 13 RODO i za realizację Twoich praw. Porozumienie jest przygotowane z myślą o stronach na Facebooku; z jego treści nie wynika jednoznacznie, czy obejmuje również profile na Instagramie. Dlatego dla bezpieczeństwa przyjmujemy współodpowiedzialność. Podstawą prawną statystyk jest nasz prawnie uzasadniony interes w zrozumieniu zasięgu naszego profilu i jego ulepszaniu (art. 6 ust. 1 lit. f RODO). Swoje prawa możesz wykonywać wobec Meta i wobec nas; najlepiej może je zrealizować Meta, bo tylko ona ma dane odwiedzających, z których powstają statystyki – żądania skierowane do nas przekazujemy Meta. Meta przekazuje dane także do Meta Platforms, Inc. w USA, która ma certyfikację zgodnie z ramami ochrony danych UE–USA (EU-U.S. Data Privacy Framework); zastosowanie ma do tego decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony (art. 45 RODO). Jak Meta przetwarza dane: privacycenter.instagram.com/policy.

Dla osób w Szwajcarii

Jeśli mieszkasz w Szwajcarii, obowiązuje Cię dodatkowo szwajcarska ustawa o ochronie danych (DSG/nFADP). Dane osobowe przekazujemy my lub nasi usługodawcy do następujących państw (art. 19 ust. 4 DSG): do Niemiec, Irlandii i innych państw UE lub EOG, które według załącznika 1 do rozporządzenia o ochronie danych (DSV) zapewniają odpowiednią ochronę; do USA; do Singapuru; oraz przez światową sieć Cloudflare do innych państw.

W USA ochrona jest według załącznika 1 DSV odpowiednia tylko w przypadku firm certyfikowanych w ramach Swiss-U.S. Data Privacy Framework. Według publicznego wykazu (sprawdzonego 5 października 2026 r.) są to Cloudflare, Inc., Functional Software, Inc. (Sentry), Google LLC, Microsoft Corporation oraz – w związku z naszym profilem na Instagramie – Meta Platforms, Inc. Spółka Plus Five Five, Inc. (Resend) ma certyfikat tylko w ramach EU-U.S. Data Privacy Framework, a RevenueCat, Inc. nie ma go wcale. W przypadku tych dwóch firm, spółek Supabase Pte. Ltd. w Singapurze i Supabase, Inc. w USA (Twoje dane są przechowywane we Frankfurcie, ale dostęp z Singapuru i z USA jest możliwy) oraz państw spoza załącznika 1 w sieci Cloudflare opieramy przekazanie na standardowych klauzulach umownych Komisji Europejskiej z dostosowaniami dla Szwajcarii uznanymi przez EDÖB, czyli Federalnego Pełnomocnika ds. Ochrony Danych i Jawności (art. 16 ust. 2 lit. d DSG).

Za App Store i iCloud odpowiada wobec użytkowników w Szwajcarii Apple Distribution International Ltd. (Irlandia), za Google Play, logowanie przez Google i Dysk Google – Google Ireland Limited. To, co ci dostawcy sami przekazują do innych państw, regulują ich własne warunki. Ze swoich praw wynikających z DSG korzystasz, kontaktując się z nami (kontakt@waffenschrank.app); możesz też zwrócić się do EDÖB.

Twoje prawa

Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz wniesienia sprzeciwu (art. 15–21 RODO), a także prawo wniesienia skargi do organu nadzorczego ds. ochrony danych, w szczególności w państwie członkowskim UE lub EOG, w którym mieszkasz lub pracujesz (art. 77 RODO); właściwym dla nas organem jest urząd ochrony danych Brandenburgii (Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg). Dane konta możesz usunąć w aplikacji; dane lokalne usuwasz przez odinstalowanie aplikacji lub za pomocą funkcji eksportu/usuwania. Kopie zapasowe w iCloud lub na Dysku Google pozostają przy tym nienaruszone: usuń je wcześniej w aplikacji na ekranie „Kopia w chmurze” albo później w ustawieniach pamięci swojego konta Apple lub Google (w przypadku Dysku Google w przeglądarce w sekcji Ustawienia → Zarządzaj aplikacjami, gdzie znajdziesz ukryte dane aplikacji Waffenschrank). Jak to zrobić — w aplikacji albo bez niej — opisuje strona Usuwanie konta.

Tam, gdzie opieramy się na Twojej zgodzie – wyszukiwanie Spotlight, kopia zapasowa w iCloud i na Dysku Google, gabloty, strony klubowe, miejsca klubowe, uzupełnianie z linków sklepowych i raporty o awariach – możesz ją w każdej chwili wycofać ze skutkiem na przyszłość (art. 7 ust. 3 RODO): wyłączając daną funkcję, zdejmując gablotę, opuszczając stronę klubową lub zwracając miejsce. Nie wpływa to na zgodność z prawem przetwarzania dokonanego do tego czasu. Zgodę na przypomnienie e-mailem bez konta wycofujesz, usuwając adres (zob. „Przypomnienie przed odnowieniem”).

Prawo sprzeciwu (art. 21 RODO): tam, gdzie przetwarzamy dane na podstawie prawnie uzasadnionych interesów (art. 6 ust. 1 lit. f RODO) – przy sprawdzaniu aktualizacji, przy sprawdzaniu katalogów, przy sprawdzaniu w sklepie na Twoim urządzeniu, czy kupiłeś Pro, przy szukaniu kopii zapasowej w iCloud podczas pierwszego uruchomienia, przy pobieraniu ze sklepu informacji o wieku, przy weryfikacji aplikacji w przypadku gabloty i formularza kontaktowego, przy wskazówkach o funkcjach Pro, przy zapisywaniu awarii na Twoim urządzeniu, dopóki nie zdecydujesz, czy wysłać raport, przy udostępnianiu naszej strony internetowej i liczeniu przejść do sklepu, przy udostępnianiu gablot ich odwiedzającym, przy tym, co otrzymujemy o aplikacji z App Store i Google Play, przy wiadomościach wysłanych przez formularz kontaktowy lub e-mailem, przy liście blokowanych adresów dla e-maili dotyczących konta, przy przypomnieniu przed odnowieniem Twojej subskrypcji rocznej lub kwartalnej, przy ochronie adresu do przypomnień przed nadużyciami, przy przechowywaniu naszych decyzji w sprawie zgłoszeń na podstawie aktu o usługach cyfrowych i przy dokumentowaniu Twojej akceptacji warunków korzystania – możesz w każdej chwili wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją; wystarczy nieformalna wiadomość na kontakt@waffenschrank.app. Wtedy przestaniemy przetwarzać te dane, chyba że wykażemy istnienie ważnych prawnie uzasadnionych podstaw nadrzędnych wobec Twoich interesów albo przetwarzanie służy ustaleniu, dochodzeniu lub obronie roszczeń. Sprawdzania aktualizacji i katalogów, sprawdzania w sklepie, pobierania informacji o wieku ani weryfikacji aplikacji nie da się wyłączyć w aplikacji; uniknąć ich można tylko, przestając z niej korzystać – weryfikacji aplikacji także, nie publikując gabloty ani strony klubu, wycofując opublikowane gabloty (w przeciwnym razie aplikacja sama je odświeża) i pisząc do nas e-mailem zamiast przez formularz kontaktowy. Z przypomnienia przed odnowieniem możesz się ponadto wypisać w każdej chwili bez podania przyczyny (zob. „Przypomnienie przed odnowieniem”). Wskazówkom o funkcjach Pro możesz się ponadto w każdej chwili i bez podania przyczyny sprzeciwić (art. 21 ust. 2 RODO) – najprościej, wyłączając je w profilu w „Wskazówki o funkcjach Pro”. Zapisywanie awarii wyłączysz w sekcji Więcej → Bezpieczeństwo przełącznikiem „Pytaj po awarii”.

Spadek cyfrowy: możesz e-mailem na adres kontakt@waffenschrank.app wskazać, co po Twojej śmierci ma się stać z danymi, które u nas przechowujemy (konto, gabloty, strony klubowe), i wyznaczyć osobę, której mamy je przekazać albo która może zażądać ich usunięcia. Bez takiej dyspozycji usunięcia mogą zażądać Twoi spadkobiercy; potrzebujemy wtedy dowodu zgonu i statusu spadkobiercy. Treści Twojej kopii w chmurze nie możemy nikomu przekazać w czytelnej postaci – jest szyfrowana end-to-end. Dla użytkowników we Francji jest to informacja wymagana przez art. 85 ustawy nr 78-17 z 6 stycznia 1978 r. (Informatique et Libertés).

Niniejsza informacja opisuje faktyczne przetwarzanie danych przez aplikację. W razie pytań: kontakt@waffenschrank.app