Zovano — Polityka Prywatności

Ta wersja Polityki Prywatności wchodzi w życie 26 listopada 2026 r. Do 22 listopada 2026 r. włącznie obowiązuje wersja 1.13, 23 i 24 listopada 2026 r. — wersja 1.14, a 25 listopada 2026 r. — wersja 1.15.

1. Administrator danych

Anton Trafimuk, prowadzący działalność gospodarczą pod firmą Anton Trafimuk (jednoosobowa działalność gospodarcza wpisana do CEIDG)
NIP: 5213959663 · REGON: 521472000
Adres: al. Polski Walczącej 26, 00-712 Warszawa
E-mail: privacy@carm8.app

Żądania dotyczące danych możesz wysłać także na support@carm8.app, legal@carm8.app lub hello@carm8.app — trafiają do tej samej skrzynki i rozpatrzymy je tak samo.

Niniejsza polityka wyjaśnia, jak przetwarzamy dane osobowe w aplikacji mobilnej Zovano („Aplikacja") oraz na stronie carm8.app, zgodnie z RODO. Jeżeli mieszkasz w Szwajcarii, przetwarzamy Twoje dane także zgodnie ze szwajcarską federalną ustawą o ochronie danych (FADP), a jeżeli mieszkasz w Mołdawii — stosujemy także ustawę Republiki Mołdawii nr 195/2024 o ochronie danych osobowych. Odesłania do przepisów RODO w tej polityce obejmują wówczas odpowiadające im przepisy tych ustaw.

Wiążąca jest polska wersja niniejszej polityki; wersje angielska, rosyjska, ukraińska, niemiecka, francuska, włoska i hiszpańska są tłumaczeniami.

2. Jakie dane zbieramy i po co

Dane	Cel	Podstawa prawna
Dane konta: identyfikator konta oraz — zależnie od wybranej metody — dane otrzymane z Google lub Apple (np. imię, adres e-mail, identyfikator dostawcy; w przypadku Apple także adres Hide My Email, jeżeli użytkownik z niego korzysta) albo adres e-mail i skrót hasła przy logowaniu e-mailem. Dane profilu, jeżeli je podasz: imię i nazwisko, numer telefonu i zdjęcie profilowe. W trybie gościa używamy pseudonimowego identyfikatora konta gościa oraz sekretu umożliwiającego odzyskanie sesji na urządzeniu.	Utworzenie konta, logowanie, działanie trybu gościa i synchronizacja danych.	Wykonanie umowy (art. 6 ust. 1 lit. b RODO).
Dane pojazdu (marka, model, numer rejestracyjny, VIN, przebieg)	Prowadzenie cyfrowej książki serwisowej	Wykonanie umowy (art. 6 ust. 1 lit. b)
Wpisy historii serwisowej (daty, koszty, przebieg, miejsce, notatki)	Prowadzenie historii obsługi pojazdu	Wykonanie umowy (art. 6 ust. 1 lit. b)
Terminy i dane przypomnień (np. typ i przebieg). Powiadomienia są planowane lokalnie na urządzeniu; nie rejestrujemy tokenu powiadomień push.	Przechowywanie przypomnień i planowanie lokalnych powiadomień o OC, przeglądzie i serwisie.	Wykonanie umowy (art. 6 ust. 1 lit. b RODO).
Twoje opinie, oceny, propozycje poprawek i propozycje nowych usług motoryzacyjnych	Obsługa funkcji społecznościowych Aplikacji	Wykonanie umowy (art. 6 ust. 1 lit. b)
Lokalizacja urządzenia (tylko podczas korzystania z Aplikacji, za Twoją zgodą)	Pokazywanie pobliskich usług motoryzacyjnych na mapie i zawężanie wyników wyszukiwania adresów	Zgoda (art. 6 ust. 1 lit. a)
Lokalizacja urządzenia w tle — tylko jeżeli włączysz funkcję „Inteligentne podpowiedzi” i zezwolisz na dostęp do dokładnej lokalizacji „Zawsze”. Lokalizacja jest przetwarzana na Twoim urządzeniu; na nasz serwer trafiają tylko kwadraty mapy o boku ok. 1,5 km — ten, w którym jesteś, i sąsiednie — dla których Aplikacja pobiera katalog miejsc (szczegóły poniżej).	Rozpoznawanie prawdopodobnych wizyt na stacjach paliw i w serwisach oraz proponowanie dodania wydatku	Zgoda (art. 6 ust. 1 lit. a RODO); możesz ją wycofać w każdej chwili, wyłączając funkcję lub uprawnienie lokalizacji
Usługi motoryzacyjne zapisane w ulubionych, informacja o ich przypięciu oraz Twoja prywatna notatka do nich	Prowadzenie Twojej listy ulubionych usług motoryzacyjnych	Wykonanie umowy (art. 6 ust. 1 lit. b)
Tekst adresu wpisywany przy proponowaniu nowej usługi motoryzacyjnej oraz — jeżeli udostępniłeś lokalizację — współrzędne służące do zawężenia wyników. Nasz serwer przekazuje je do usługi Photon (zob. sekcja 3) i nie zapisuje ich na Twoim koncie.	Podpowiadanie pasujących adresów	Wykonanie umowy (art. 6 ust. 1 lit. b); współrzędne — zgoda (art. 6 ust. 1 lit. a), zob. wiersz „Lokalizacja urządzenia”
Adres e-mail do wiadomości transakcyjnych (weryfikacja adresu, odzyskiwanie hasła) — przez Resend	Dostarczanie wiadomości niezbędnych do działania usługi	Wykonanie umowy (art. 6 ust. 1 lit. b)
Dane o awariach i błędach: model urządzenia, wersja systemu i Aplikacji, zrzuty stosu i ostatnie zdarzenia techniczne poprzedzające błąd (np. komunikaty diagnostyczne Aplikacji z zamaskowanymi adresami e-mail i tokenami, adresy zapytań sieciowych bez parametrów i bez treści żądań i odpowiedzi, zmiany stanu Aplikacji), a także informacja o uruchomieniu Aplikacji i o tym, czy sesja zakończyła się awarią (Sentry). Dane są powiązane z losowym identyfikatorem instalacji Aplikacji zapisanym na urządzeniu. Gdy zgłosisz problem w Aplikacji, dołączamy dziennik diagnostyczny z ostatnich dni zapisany na urządzeniu.	Naprawa błędów i stabilność Aplikacji	Prawnie uzasadniony interes (art. 6 ust. 1 lit. f)
Podstawowe dane techniczne (adres IP, logi żądań), w tym adres IP i identyfikator instalacji przy sprawdzaniu aktualizacji Aplikacji (EAS Update)	Bezpieczeństwo, zapobieganie nadużyciom, działanie usługi oraz rozpoznawanie automatycznego ruchu testowego (zob. sekcja 9)	Prawnie uzasadniony interes (art. 6 ust. 1 lit. f)
Dane ochrony logowania: adres e-mail wpisany przez dowolną osobę przy nieudanej weryfikacji hasła (także jeżeli osoba ta nie jest właścicielem adresu lub nie istnieje konto z takim adresem), liczba nieudanych prób oraz czas zakończenia blokad. Token urządzenia: przy każdym udanym zalogowaniu do konta ze zweryfikowanym adresem e-mail wydajemy podpisany token zawierający losowy identyfikator urządzenia i identyfikator konta; token jest przechowywany wyłącznie na tym urządzeniu, a nasz serwer zapisuje identyfikator urządzenia tylko wtedy, gdy z tego urządzenia podejmowano nieudane próby logowania.	Ochrona kont przed próbami odgadnięcia hasła oraz przed zablokowaniem dostępu do konta jego właścicielowi przez osoby trzecie	Prawnie uzasadniony interes (art. 6 ust. 1 lit. f)
Zdarzenia korzystania z Aplikacji (m.in. utworzenie lub powiązanie konta gościa, dodanie pojazdu, przypomnienia, wydatku lub wpisu serwisowego, dni aktywności, platforma, z której korzystasz, wskazany przez Ciebie kanał, z którego znasz Aplikację, korzystanie z Inteligentnych podpowiedzi), powiązane z pseudonimowym identyfikatorem konta — bez VIN, numeru rejestracyjnego, adresu e-mail i treści notatek. Szczegóły i prawo sprzeciwu opisuje sekcja 9.	Pomiar korzystania z funkcji i ulepszanie Aplikacji (analityka produktowa)	Prawnie uzasadniony interes (art. 6 ust. 1 lit. f); możesz wnieść sprzeciw w każdej chwili, np. przełącznikiem „Analityka” — patrz sekcja 9
Pomiary onboardingu przed założeniem konta, powiązane z tymczasowym identyfikatorem w pamięci Aplikacji, bez powiązania z kontem, imieniem czy adresem e-mail. Samo zdarzenie analityczne onboardingu nie zawiera adresu IP. Niezależnie od tego standardowe logi techniczne infrastruktury mogą zawierać adres IP zgodnie z opisem danych technicznych powyżej.	Ustalenie, na którym etapie onboardingu nowi użytkownicy napotykają trudności	Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) — patrz sekcja 9
Liczba próśb Aplikacji o ocenę w App Store lub Google Play oraz data ostatniej z nich, zapisane przy Twoim koncie. Nie są to dane analityczne: wyłączenie przełącznika „Analityka” ich nie usuwa ani nie zeruje.	Ograniczenie próśb o ocenę Aplikacji: prosimy nie więcej niż trzy razy łącznie i nie częściej niż raz na 120 dni	Prawnie uzasadniony interes (art. 6 ust. 1 lit. f)
Wydatki (kwota, waluta, kategoria, nazwa, data, miejsce, notatki), dane ubezpieczenia oraz załączniki (np. zdjęcia, faktury, paragony i dokumenty PDF)	Prowadzenie kosztów, ubezpieczeń i dokumentacji auta.	Wykonanie umowy (art. 6 ust. 1 lit. b RODO).
Dokumenty, które skanujesz do rozpoznania: zdjęcie lub plik PDF paragonu, faktury albo innego dokumentu dotyczącego samochodu (wraz z nazwą pliku, jeżeli Aplikacja ją przesyła) oraz odczytane z niego dane (np. data, kwota, waluta, ilość, rodzaj paliwa, przebieg, rodzaj usługi, sprzedawca, miejsce, ubezpieczyciel, numer i okres polisy, daty badania technicznego) — zob. „Rozpoznawanie dokumentów” poniżej	Odczytanie dokumentu i zaproponowanie na jego podstawie wpisu wydatku lub serwisu, który sprawdzasz, w razie potrzeby poprawiasz i zapisujesz; zaproponowanie przypomnienia (np. o wymianie oleju)	Wykonanie umowy (art. 6 ust. 1 lit. b RODO)
Próby rozpoznania przechowywane razem ze skanem: odpowiedź modelu rozpoznającego, wyniki naszych kontroli, to, co potwierdziłeś i poprawiłeś, koszt i czas każdej próby oraz odcisk dokumentu (skrót pliku i kluczowych danych dokumentu, takich jak NIP sprzedawcy, data, suma i numer paragonu)	Mierzenie i poprawianie błędów rozpoznawania, rozpatrywanie reklamacji, odrzucanie dokumentu zeskanowanego ponownie oraz ograniczanie liczby skanów na dzień i miesiąc	Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO); możesz wnieść sprzeciw — zob. „Rozpoznawanie dokumentów” poniżej
Skany przechowywane do trenowania — tylko za Twoją zgodą: obrazy zapisanych skanów wraz z Twoimi poprawkami, czas wyrażenia zgody i wersja treści zgody	Przyszłe trenowanie i testowanie naszego własnego modelu rozpoznawania	Zgoda (art. 6 ust. 1 lit. a RODO); możesz ją wycofać w dowolnym momencie
Dane zakupów — jeżeli otworzysz ekran zakupu lub ekran „Wesprzyj Zovano”, użyjesz opcji „Przywróć zakupy”, kupisz subskrypcję Pro albo przekażesz napiwek wsparcia: losowy identyfikator rozliczeniowy Twojego konta (tworzymy go wraz z kontem, a RevenueCat otrzymuje go dopiero przy jednej z tych czynności), kupiony produkt, sklep (App Store lub Google Play), informacja, czy subskrypcja Pro jest aktywna, kiedy wygasa i czy odnawia się automatycznie, oraz zapis zdarzeń zakupu (rodzaj, produkt, cena w dolarach amerykańskich, czas). RevenueCat przetwarza w naszym imieniu potwierdzenie zakupu z App Store lub token zakupu z Google Play oraz dane wymienione w sekcji 3. Samą płatność obsługuje Apple lub Google; nie otrzymujemy danych Twojej karty ani innych danych płatniczych. Jeżeli to samo konto App Store lub Google Play zostanie użyte do zakupów dla więcej niż jednego konta Zovano, oznaczamy te konta i możemy zastąpić identyfikator rozliczeniowy jednego z nich nowym identyfikatorem, aby Pro pozostało przy koncie, które je kupiło. W trybie gościa zakupy nie są dostępne, a Aplikacja nie łączy się z RevenueCat.	Prezentowanie oferowanych produktów i ich cen, sprzedaż subskrypcji Pro i obsługa napiwków wsparcia, odblokowywanie Pro na Twoich urządzeniach i przywracanie zakupów, rozpatrywanie reklamacji dotyczących zakupów i rozdzielanie zakupów poszczególnych kont, a także prowadzenie statystyk przychodów i zwrotów	Wykonanie umowy lub podjęcie działań na Twoje żądanie przed jej zawarciem (art. 6 ust. 1 lit. b RODO); w zakresie zapisu zdarzeń zakupu i wykrywania konta w sklepie używanego dla kilku kont — także nasz prawnie uzasadniony interes polegający na rozpatrywaniu reklamacji, zapobieganiu nadużyciom Pro oraz prowadzeniu statystyk przychodów i zwrotów (art. 6 ust. 1 lit. f RODO).
Zgłoszenia nielegalnych treści i korespondencja: wskazana treść, uzasadnienie, oświadczenie dobrej wiary oraz podane dane kontaktowe.	Rozpatrywanie zgłoszeń, kontakt ze zgłaszającym i ochrona praw.	Obowiązek prawny (art. 6 ust. 1 lit. c RODO), w zakresie wymaganym prawem; w pozostałym zakresie prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).

Nie sprzedajemy Twoich danych, nie wykorzystujemy ich do reklam ani nie śledzimy Cię w innych aplikacjach i serwisach.

Dane lokalizacyjne są używane w czasie rzeczywistym — do wyszukiwania pobliskich usług i zawężania wyników wyszukiwania adresów — i nie są zapisywane jako historia przemieszczania się. Wyjątkiem są Inteligentne podpowiedzi, jeżeli je włączysz: Aplikacja przechowuje wtedy na Twoim urządzeniu, przez ograniczony czas, informację o tym, przy których publicznych stacjach paliw i serwisach prawdopodobnie się zatrzymałeś — bez tras i punktów GPS (zob. „Inteligentne podpowiedzi” poniżej).

Dane na Twoim urządzeniu. Aplikacja przechowuje na urządzeniu tokeny logowania (w bezpiecznym magazynie systemu), pamięć podręczną części Twoich danych oraz dziennik diagnostyczny z ostatnich 3 dni. Pakiety SDK Sentry i Expo zapisują losowe identyfikatory instalacji, używane w raportach błędów, informacjach o sesjach i przy sprawdzaniu aktualizacji. Dane te usuniesz, odinstalowując Aplikację; wyjątek: na iPhonie i iPadzie wpisy w bezpiecznym magazynie systemu (tokeny logowania i token urządzenia) mogą pozostać po odinstalowaniu Aplikacji i są usuwane przy usunięciu konta w Aplikacji na tym urządzeniu lub przy przywróceniu ustawień fabrycznych urządzenia. Token urządzenia (zob. wyżej) pozostaje na urządzeniu po wylogowaniu, abyśmy przy kolejnym logowaniu rozpoznali Twoje urządzenie. Jest usuwany, gdy usuniesz konto w Aplikacji na tym urządzeniu; jeżeli konto zostanie usunięte w inny sposób, token pozostaje na urządzeniu, ale nie jest już powiązany z żadnym kontem. Jeżeli włączysz Inteligentne podpowiedzi, Aplikacja przechowuje na urządzeniu także dane opisane poniżej. Gdy otworzysz ekran zakupu lub ekran „Wesprzyj Zovano”, użyjesz opcji „Przywróć zakupy” albo gdy sklep zgłosi zakup dla Twojego konta, pakiet SDK RevenueCat zapisze też na Twoim urządzeniu identyfikator rozliczeniowy oraz kopię stanu Twoich zakupów i oferowanych produktów; dane te są objęte kopiami zapasowymi telefonu. Po wylogowaniu się lub usunięciu konta Aplikacja przestaje wysyłać zapytania do RevenueCat; do czasu zamknięcia Aplikacji pakiet SDK RevenueCat może jednak w tle odświeżać stan Twoich zakupów pod Twoim identyfikatorem rozliczeniowym. Od kolejnego uruchomienia Aplikacji nic nie jest wysyłane do RevenueCat, dopóki nie zaloguje się konto, które otworzyło ekran zakupu. Twój identyfikator rozliczeniowy i stan zakupów pozostają na urządzeniu do czasu otwarcia na nim ekranu zakupu przez inne konto albo do odinstalowania Aplikacji.

Dane pojazdu i historii serwisowej wprowadzasz samodzielnie i służą wyłącznie Tobie — nie udostępniamy ich innym użytkownikom.

Inteligentne podpowiedzi (lokalizacja w tle)

„Inteligentne podpowiedzi” to opcjonalna funkcja, domyślnie wyłączona. Gdy ją włączysz, Aplikacja rozpoznaje na Twoim telefonie, że prawdopodobnie zatrzymałeś się samochodem na stacji paliw lub w serwisie, a następnie odjechałeś, i proponuje dodanie wydatku z uzupełnionym miejscem i datą — w Aplikacji oraz, jeżeli zezwolisz na powiadomienia, powiadomieniem na urządzeniu. Proponujemy najwyżej jedną podpowiedź dziennie o tankowaniu i jedną o serwisie. O zapisaniu wydatku zawsze decydujesz Ty. Powiadomienie zawiera nazwę miejsca; w zależności od ustawień telefonu może być widoczne na ekranie blokady bez odblokowania telefonu — podgląd powiadomień możesz ukryć w ustawieniach systemu. Z funkcji może korzystać każdy, kto może korzystać z Aplikacji (osoby, które ukończyły 16 lat, zob. sekcja 7), także na koncie gościa.

Uprawnienia. Funkcja potrzebuje dostępu do dokładnej lokalizacji „Zawsze” (na Androidzie: dostępu przez cały czas), także gdy Aplikacja jest zamknięta lub nieużywana. Bez dostępu w tle lub dokładnej lokalizacji funkcja jest wstrzymana i Aplikacja nie rozpoznaje wizyt, także gdy jest otwarta. Powiadomienia są opcjonalne.
Co dzieje się na telefonie. Aplikacja rejestruje w systemie strefy (geofencing) wokół pobliskich stacji paliw i serwisów z publicznego katalogu. Gdy telefon wjedzie do takiej strefy lub ją opuści, system uruchamia Aplikację, a ta może przez krótki czas odczytywać dokładną lokalizację, aby sprawdzić, czy samochód zatrzymał się na terenie miejsca i z niego odjechał. Rozpoznanie wizyty, dopasowanie postoju do miejsca i decyzja o podpowiedzi następują wyłącznie na urządzeniu. Punkty lokalizacji pozostają w pamięci urządzenia tylko do chwili ich przetworzenia; nie zapisujemy tras, punktów GPS ani pozycji postoju.
Co trafia na nasz serwer. Aby wiedzieć, gdzie są pobliskie stacje i serwisy, Aplikacja pobiera z naszego serwera publiczny katalog miejsc (z danych OpenStreetMap) dla kwadratów mapy o boku ok. 1,5 km — tego, w którym jesteś, i sąsiednich. Te zapytania nie zawierają tokenu logowania ani identyfikatora konta; jak każde żądanie, docierają do nas z adresem IP i czasem (zob. „Podstawowe dane techniczne” powyżej). Nie wysyłamy współrzędnych, tras, postojów ani wizyt. Miejsce wizyty trafia na serwer tylko wtedy, gdy sam zapiszesz wydatek z tym miejscem.
Co przechowujemy na telefonie. Dopóki korzystasz z funkcji, Aplikacja zapisuje na urządzeniu: podpowiedzi wraz z nazwami i identyfikatorami pobliskich miejsc z katalogu (aktywne — do 24 godzin od wyjazdu, a po ich zamknięciu jeszcze przez ok. 48 godzin, aby ta sama wizyta nie wróciła); miejsca, dla których wybrałeś „Nie podpowiadaj dla tego miejsca”, oraz odpowiedzi „Nie było mnie tam”; stan rozpoznawania — otwarte wizyty (identyfikatory miejsc i czasy, bez współrzędnych) do ich rozstrzygnięcia, najwyżej 10 godzin, oraz czasy wizyt w poszczególnych miejscach z ostatnich 14 dni, aby nie podpowiadać serwisu tam, gdzie parkujesz codziennie; kopię katalogu miejsc dla pobranych kwadratów — do 48 godzin; zarejestrowane strefy — okręgi wokół miejsc z katalogu i jedną strefę wokół Twojej okolicy, służącą do odświeżania stref. Środkiem tej strefy jest komórka siatki o boku ok. 500 m, w której się znajdujesz. Dane te trafiają do kopii zapasowych telefonu (np. w iCloud, na komputerze lub w kopii zapasowej Androida) i są tam przechowywane zgodnie z ustawieniami tej kopii. Danych tych nie wysyłamy na nasz serwer. Po wyłączeniu funkcji Aplikacja usuwa podpowiedzi, ukryte miejsca i dane rozpoznawania, a do wylogowania zachowuje tylko Twój wybór, aby funkcja pozostała wyłączona. Przy wylogowaniu usuwa pozostałe dane.
Wyłączenie. Funkcję wyłączysz w każdej chwili w Profil → Inteligentne podpowiedzi; możesz też cofnąć uprawnienie lokalizacji lub powiadomień w ustawieniach systemu. Po wyłączeniu funkcji Aplikacja usuwa opisane wyżej podpowiedzi, ukryte miejsca i dane rozpoznawania oraz anuluje zaplanowane powiadomienia; do wylogowania zachowuje tylko Twój wybór, aby funkcja pozostała wyłączona.
Analityka. Zdarzenia korzystania z tej funkcji opisuje sekcja 9.

Rozpoznawanie dokumentów (skany paragonów i innych dokumentów samochodowych)

Rozpoznawanie dokumentów jest funkcją opcjonalną. Jeżeli funkcja jest dostępna w Aplikacji (także w trybie gościa), możesz sfotografować dokument dotyczący samochodu — np. paragon lub fakturę za paliwo, usługę serwisową, parking, przejazd płatną drogą lub leasing, decyzję podatkową dotyczącą pojazdu, polisę ubezpieczeniową albo zaświadczenie z badania technicznego — bądź wybrać taki dokument w formacie PDF (do 5 stron i 5 MB). Każdy zeskanowany dokument, także dowód rejestracyjny lub prawo jazdy, odczytujemy automatycznie. Na razie proponujemy wpis wyłącznie na podstawie pozycji dotyczących paliwa, ładowania samochodu elektrycznego lub usługi serwisowej; dokument, na którym ich nie ma, odrzucamy, a jego dane możesz wpisać ręcznie. Po rozpoznaniu skanu Aplikacja może też zaproponować przypomnienie: o wymianie oleju na podstawie usługi serwisowej z dokumentu albo o badaniu technicznym lub ubezpieczeniu OC na podstawie danych Twojego samochodu. Propozycja zostaje zapisana dopiero wtedy, gdy ją sprawdzisz, w razie potrzeby poprawisz i potwierdzisz.

Co wysyłamy i komu. Plik trafia na nasz serwer. Zanim go zachowamy lub przekażemy dalej, usuwamy metadane zdjęcia (w tym miejsce jego wykonania) oraz właściwości dokumentu PDF; zdjęcia osadzone w pliku PDF zachowują własne metadane, które mogą obejmować lokalizację. Następnie wysyłamy plik do usługi Google Cloud, która odczytuje go dla nas w Unii Europejskiej za pomocą modeli Gemini (Gemini Enterprise Agent Platform, dawniej Vertex AI). Google otrzymuje wyłącznie plik i nasze instrukcje. Nie przekazujemy żadnych innych danych o Tobie: identyfikatora konta, danych Twoich samochodów z Aplikacji ani kraju. Google widzi jedynie to, co jest wydrukowane na dokumencie, a może to być numer rejestracyjny, VIN, Twoje imię i nazwisko, adres, numer PESEL lub zdjęcie (np. z prawa jazdy).

Google działa jako nasz podmiot przetwarzający. Nie wykorzystuje pliku do trenowania swoich modeli i nie przechowuje go po odczytaniu. Jedyny wyjątek: jeżeli automatyczne systemy bezpieczeństwa Google oznaczą żądanie jako możliwe nadużycie, Google może je przechowywać do 90 dni w Unii Europejskiej, aby sprawdzili je pracownicy Google; mogą oni znajdować się poza Europejskim Obszarem Gospodarczym (zob. sekcja 3).

Kontrole. Zanim pokażemy Ci wynik, sprawdzamy go: czy kwoty się zgadzają, czy data i cena jednostkowa są realne, czy rodzaj paliwa, numer rejestracyjny, VIN i przebieg pasują do Twoich samochodów oraz czy podobny wydatek nie został już przez Ciebie zapisany. Sprzedawcę dopasowujemy do miejsca w naszym publicznym katalogu miejsc. Odrzucenie skanu lub zastosowanie limitu oznacza jedynie, że dane trzeba będzie wpisać ręcznie; nie wywołuje wobec Ciebie skutków prawnych ani w podobny sposób istotnie na Ciebie nie wpływa.

Co przechowujemy. Przechowujemy każdy skan wraz z jego próbami rozpoznania, jak opisano w tabeli powyżej. Wykorzystujemy te dane, aby pokazać Ci wynik, mierzyć i poprawiać błędy rozpoznawania, rozpatrywać reklamacje, odrzucać dokument zeskanowany ponownie i ograniczać liczbę skanów na dzień i miesiąc. Odpowiedź modelu usuwamy 90 dni po próbie rozpoznania. Dane zapisanego skanu i jego próby rozpoznania — w tym odcisk dokumentu oraz to, co potwierdziłeś i poprawiłeś — przechowujemy tak długo, jak istnieje choć jeden utworzony z niego wpis, także po usunięciu obrazu. Po usunięciu tych wpisów, skanu lub konta usuwamy je w terminach podanych w sekcji 4.

Obraz po zapisaniu. Jeżeli masz subskrypcję Pro, obraz zostaje zachowany jako załącznik zapisanego wpisu w granicach limitu załączników; obraz, który się w tym limicie nie mieści, traktujemy tak, jak gdybyś nie miał subskrypcji Pro. Bez subskrypcji Pro usuwamy obraz zaraz po zapisaniu wpisu, chyba że wyraziłeś zgodę na przechowywanie skanów do trenowania (poniżej). Skan, którego nie zapiszesz, usuwamy 7 dni po przesłaniu albo od razu, gdy z niego zrezygnujesz. Usunięte obrazy mogą pozostawać w zaszyfrowanych kopiach zapasowych przez okresy wskazane w sekcji 4.

Mandaty nie są obsługiwane. Rozpoznawanie dokumentów nie służy do odczytywania mandatów, wezwań do uiszczenia opłaty dodatkowej (np. za nieopłacony postój) lub kary pieniężnej (np. za nieuiszczenie opłaty za przejazd płatną drogą), faktur, którymi np. firma leasingowa lub wypożyczalnia przenosi na Ciebie kwotę mandatu (refaktura), ani innych dokumentów dotyczących wykroczeń lub przestępstw, i nie wykorzystujemy tego, co z nich odczytano. Jeżeli zeskanujesz taki dokument, jest on przetwarzany jak każdy skan do chwili, gdy model rozpozna go jako taki dokument lub znajdzie na nim pozycję dotyczącą mandatu: wysyłamy go do Google, po czym odrzucamy skan, a to, co model odczytał, i obraz od razu usuwamy. Zachowujemy jedynie techniczny zapis skanu bez jego treści (skrót i — jeżeli Aplikacja ją przesłała — nazwę pliku, status, użyty model, koszt i znaczniki czasu). Po 7 dniach usuwamy go wraz z innymi niezapisanymi skanami, ale przechowujemy go jeszcze przez 32 dni, aby wliczał się do limitów skanów; potem usuwamy go trwale. Jeżeli systemy bezpieczeństwa Google oznaczą żądanie, Google może je przechowywać, jak opisano powyżej. Kopie zapasowe: sekcja 4.

Przechowywanie skanów do trenowania (opcjonalne). Po pierwszym zapisanym skanie Aplikacja raz zapyta, czy możemy przechowywać Twoje skany, aby w przyszłości trenować i testować nasz własny model rozpoznawania. Zgoda nie jest częścią Regulaminu, a przechowywanie jest domyślnie wyłączone; jeżeli odmówisz, nic w Aplikacji się nie zmieni. Jeżeli się zgodzisz, przechowujemy obrazy skanów zapisanych od tej chwili wraz z Twoimi poprawkami — także bez subskrypcji Pro, choć wtedy nie są widoczne w Aplikacji. Obrazy zachowane jako załączniki wpisów nie są wykorzystywane do trenowania. Nie przechowujemy do trenowania dokumentów rozpoznanych jako polisy, decyzje podatkowe dotyczące pojazdu albo dokumenty pojazdu lub kierowcy, takie jak dowód rejestracyjny lub prawo jazdy. Jeżeli nie rozpoznamy, że jest to taki dokument, przed ewentualnym trenowaniem usuniemy z niego dane innych osób albo go pominiemy. Przechowujemy je do czasu wycofania zgody albo usunięcia wpisu, skanu lub konta, nie dłużej jednak niż 24 miesiące od przesłania. Zapisujemy, kiedy wyraziłeś zgodę i którą wersję treści zgody widziałeś. Nie wykorzystujemy tych skanów do innych celów, nie przekazujemy ich nikomu poza naszymi dostawcami hostingu i na razie nie trenujemy na nich żadnego modelu; zanim zaczniemy, zaktualizujemy niniejszą politykę. Zgodę możesz wycofać w dowolnym momencie w Aplikacji (Profil → Konto i bezpieczeństwo) równie łatwo, jak jej udzieliłeś. Wtedy od razu przestajemy korzystać z obrazów przechowywanych wyłącznie w tym celu i je usuwamy (nieudane usunięcie ponawiamy automatycznie); Twoje poprawki pozostają przy danych skanu, jak opisano powyżej.

Prawo sprzeciwu. Możesz wnieść sprzeciw (art. 21 RODO) wobec przetwarzania danych Twoich prób rozpoznania na podstawie naszego prawnie uzasadnionego interesu, pisząc na privacy@carm8.app. Przestaniemy wtedy przechowywać Twoje próby w celu mierzenia i poprawiania błędów rozpoznawania. Rozpatrzymy też sprzeciw wobec przechowywania odcisku dokumentu i liczby Twoich skanów, jednak ochrona usługi przed nadużyciami — odrzucanie dokumentów zeskanowanych ponownie i limity skanów — stanowi z reguły ważną prawnie uzasadnioną podstawę nadrzędną wobec Twoich interesów, praw i wolności; dane te są w każdym razie usuwane automatycznie w terminach podanych w sekcji 4.

Analityka. Rozpoznawanie dokumentów nie dodaje żadnych zdarzeń do analityki opisanej w sekcji 9.

Dane innych osób na skanowanych dokumentach

Na skanowanym dokumencie mogą znajdować się dane osób innych niż użytkownik, który go skanuje: imię i nazwisko, adres i NIP sprzedawcy lub wystawcy będącego osobą fizyczną, np. prowadzącą stację paliw lub warsztat; imię i nazwisko, adres i NIP nabywcy wskazanego na fakturze, jeżeli nie jest nim użytkownik; dane ubezpieczającego, współwłaścicieli lub innych osób wskazanych na polisie, w tym adres i numer identyfikacyjny (np. PESEL), jeżeli nie jest nimi użytkownik; dane podatnika lub współwłaścicieli wskazanych w decyzji podatkowej, w tym ich adres i PESEL lub NIP; dane właściciela, posiadacza lub innej osoby wskazanej w innym dokumencie, np. w dowodzie rejestracyjnym lub prawie jazdy, w tym adres lub numer PESEL tej osoby, jeżeli nie jest nią użytkownik; imię i nazwisko kasjera; dane kart płatniczych lub lojalnościowych. Źródłem tych danych jest dokument skanowany przez użytkownika.

Wszystkie te dane trafiają do Google Cloud jako część pliku i pozostają na obrazie — w celach i przez okresy opisane w części „Rozpoznawanie dokumentów”. Imię i nazwisko (firmę), adres i NIP sprzedawcy odczytujemy z dokumentu. Przechowujemy je w danych próby rozpoznania, NIP uwzględniamy w odcisku dokumentu, a dane sprzedawcy wykorzystujemy do dopasowania sprzedawcy do miejsca w naszym katalogu (zob. „Dane osób związanych z wizytówkami firm”) i do odrzucania dokumentu zeskanowanego ponownie. Nazwa sprzedawcy może pojawić się we wpisie użytkownika. Nie prosimy modelu o imię i nazwisko, adres ani numer identyfikacyjny nabywców, ubezpieczających, współwłaścicieli, podatników ani właścicieli i posiadaczy wskazanych w dokumentach pojazdu lub kierowcy, o imiona i nazwiska kasjerów ani o dane kart płatniczych lub lojalnościowych, a z wierszy dotyczących płatności na paragonie zapisujemy tylko ich liczbę; dane te pozostają wyłącznie na obrazie. Dane samego dokumentu, takie jak numer polisy, daty, numer rejestracyjny, VIN i przebieg, są odczytywane i mogą dotyczyć tych osób. Jeżeli model błędnie odczyta dokument, pole tekstowe, np. treść pozycji lub nazwa sprzedawcy, może zawierać imię i nazwisko innej osoby. Dokumentów rozpoznanych jako polisy, decyzje podatkowe dotyczące pojazdu albo dokumenty pojazdu lub kierowcy, takie jak dowód rejestracyjny lub prawo jazdy, nie przechowujemy do trenowania; przed ewentualnym przyszłym trenowaniem lub testowaniem usuniemy takie dane z pozostałych obrazów albo pominiemy skan.

Podstawą przetwarzania tych danych jest prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO): interes użytkownika polegający na ewidencjonowaniu własnych kosztów samochodu na podstawie potwierdzającego je dokumentu oraz nasz interes polegający na poprawianiu błędów rozpoznawania, odrzucaniu zduplikowanych skanów i — za zgodą użytkownika — przechowywaniu skanów w celu rozwijania modelu rozpoznawania.

Nie informujemy tych osób indywidualnie. Nie wyodrębniamy tożsamości nabywców, ubezpieczających, współwłaścicieli, podatników, właścicieli i posiadaczy wskazanych w dokumentach pojazdu lub kierowcy ani kasjerów. Poinformowanie ich wymagałoby odczytania i przechowywania ich imion, nazwisk i adresów, czego poza tym nie robimy, oraz niewspółmiernie dużego wysiłku (art. 14 ust. 5 lit. b RODO). Kontaktowanie się z każdym sprzedawcą, którego paragon zeskanuje użytkownik, również wymagałoby niewspółmiernie dużego wysiłku, zważywszy na ograniczony wpływ na sprzedawców, którzy sami umieszczają swoje dane na paragonach i fakturach. Informacje te udostępniamy publicznie w niniejszej części. Przysługują im prawa opisane w sekcji 5, w tym prawo sprzeciwu, i mogą skontaktować się z nami pod adresem privacy@carm8.app; aby ułatwić odnalezienie dokumentu, mogą podać sprzedawcę, datę i numer paragonu, faktury lub polisy.

3. Usługi podmiotów trzecich

Apple / Sign in with Apple (Apple Distribution International Ltd., Irlandia) — uwierzytelnianie użytkownika. Przy pierwszym logowaniu Apple może umożliwić przekazanie nam imienia i adresu e-mail; użytkownik może skorzystać z funkcji Hide My Email. Polityka prywatności Apple
Google Sign-In (Google Ireland Ltd., Irlandia) — uwierzytelnianie. Polityka prywatności Google
Google Maps (Google Ireland Ltd., Irlandia) — wyświetlanie mapy w Aplikacji. Przy wczytywaniu mapy Google otrzymuje m.in. adres IP urządzenia i wyświetlany obszar mapy. Dodatkowe warunki Google Maps
Photon (komoot GmbH, Niemcy) — wyszukiwanie adresów na podstawie danych OpenStreetMap. Zapytania przekazuje nasz serwer: komoot otrzymuje wpisany fragment adresu oraz — jeżeli udostępniłeś lokalizację — współrzędne służące do zawężenia wyników, ale nie Twój adres IP ani dane konta. Polityka prywatności komoot
Resend (Resend, Inc., USA) — wysyłka wiadomości e-mail służących weryfikacji adresu i odzyskiwaniu hasła. Polityka prywatności Resend
Sentry (Functional Software, Inc., USA; dane przechowywane w regionie UE — w Niemczech) — raportowanie awarii i błędów; raporty zawierają identyfikator instalacji zapisany na urządzeniu przez SDK Sentry. Polityka prywatności Sentry
Expo (650 Industries, Inc., USA) — dostarczanie aktualizacji Aplikacji (EAS Update); przy każdym sprawdzeniu aktualizacji Expo otrzymuje adres IP i identyfikator instalacji. Wersje Aplikacji starsze niż 1.3.0 wysyłają do Expo także raporty błędów (Expo Observe), dopóki nie zostaną zaktualizowane. Polityka prywatności Expo
RevenueCat (RevenueCat, Inc., USA) — obsługa zakupów w Aplikacji w naszym imieniu: weryfikuje zakupy w App Store i Google Play i informuje nasz serwer, czy Twoje konto ma aktywną subskrypcję Pro. RevenueCat otrzymuje Twój identyfikator rozliczeniowy, potwierdzenie zakupu z App Store lub token zakupu z Google Play wraz z informacją o produkcie, cenie, walucie i kraju sklepu, typ urządzenia, wersje systemu operacyjnego, Aplikacji i pakietu SDK, ustawienia regionalne (locale), na iPhonie i iPadzie identyfikator IDFV (ang. identifier for vendor) — identyfikator urządzenia, który system iOS nadaje na danym urządzeniu wszystkim aplikacjom jednego dewelopera i który pakiet SDK RevenueCat wysyła z każdym zapytaniem — oraz adres IP połączenia, z którego RevenueCat zachowuje wyłącznie informację o kraju. Nie otrzymuje Twojego imienia i nazwiska, adresu e-mail, dokładnej lokalizacji, danych samochodu ani identyfikatorów reklamowych; na Androidzie nie otrzymuje żadnego identyfikatora urządzenia. Polityka prywatności RevenueCat
App Store (Apple Distribution International Ltd., Irlandia) i Google Play (Google; płatności obsługują podmioty płatnicze Google opisane w Informacji o ochronie prywatności w Google Payments) — płatności za zakupy w Aplikacji. Apple i Google obsługują płatność i przetwarzają dane Twojego konta w sklepie jako odrębni administratorzy, na podstawie własnych regulaminów i polityk prywatności.
Railway (Railway Corp., USA; serwery w Holandii) — hosting serwera i bazy danych.
Cloudflare (Cloudflare, Inc., USA) — bezpieczeństwo sieci i routing ruchu oraz przechowywanie dokumentów przesłanych przez Ciebie do Aplikacji i kopii zapasowych (usługa R2; dane przechowywane w Unii Europejskiej).
Google Cloud (Google Cloud Poland Sp. z o.o., Polska, wraz z Google LLC, USA, i podmiotami powiązanymi z Google LLC) — odczytywanie skanowanych przez Ciebie dokumentów (modele Gemini w Gemini Enterprise Agent Platform, dawniej Vertex AI; przetwarzanie w Unii Europejskiej) jako nasz podmiot przetwarzający na podstawie Cloud Data Processing Addendum (umowy powierzenia przetwarzania danych Google Cloud). Google otrzymuje wyłącznie plik i nasze instrukcje. Zob. „Rozpoznawanie dokumentów” w sekcji 2. Cloud Data Processing Addendum

Przekazywanie danych poza EOG. Bazę danych, przesłane dokumenty, kopie zapasowe i raporty błędów Sentry przechowujemy w Europejskim Obszarze Gospodarczym. Część odbiorców ma jednak siedzibę w USA i może przetwarzać dane lub uzyskiwać do nich dostęp poza EOG. Podstawą przekazania jest:

Expo — standardowe klauzule umowne przyjęte przez Komisję Europejską (moduł 2: administrator — podmiot przetwarzający);
Resend i Sentry — decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony w ramach EU-US Data Privacy Framework, w którym ci dostawcy uczestniczą, a uzupełniająco — standardowe klauzule umowne;
Railway i Cloudflare — standardowe klauzule umowne albo EU-US Data Privacy Framework, zgodnie z umowami powierzenia przetwarzania tych dostawców;
RevenueCat — standardowe klauzule umowne przyjęte przez Komisję Europejską (moduł 2: administrator — podmiot przetwarzający), zgodnie z umową powierzenia przetwarzania danych RevenueCat;
Google Cloud — plik jest odczytywany, a ewentualna kopia przechowywana w Unii Europejskiej; w przypadku dostępu Google LLC z USA (np. w ramach wsparcia technicznego lub weryfikacji nadużyć) — decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony w ramach EU-US Data Privacy Framework, w którym uczestniczy Google LLC, a w pozostałych przypadkach, także wobec innych państw — standardowe klauzule umowne (moduł 3: podmiot przetwarzający — podmiot przetwarzający) między spółkami Google przewidziane w Cloud Data Processing Addendum;
Google (logowanie, Mapy, Google Play) i Apple — mechanizmy opisane w ich politykach prywatności.

Kopię standardowych klauzul umownych otrzymasz, pisząc na privacy@carm8.app.

Użytkownicy w Szwajcarii. Twoje dane przetwarzamy w Polsce, przechowujemy w Holandii, Niemczech i innych państwach Unii Europejskiej oraz ujawniamy odbiorcom wymienionym w tej sekcji, którzy mają siedzibę także w Irlandii i Stanach Zjednoczonych. Szwajcaria uznaje państwa Europejskiego Obszaru Gospodarczego za zapewniające odpowiedni stopień ochrony. W przypadku odbiorców w Stanach Zjednoczonych opieramy się — jeżeli odbiorca jest certyfikowany — na Swiss-US Data Privacy Framework, a w pozostałych przypadkach na standardowych klauzulach umownych w wersji dostosowanej do prawa szwajcarskiego, zgodnie z umową powierzenia przetwarzania danych danego dostawcy; w przypadku Google (logowanie, Mapy, Google Play) i Apple — na mechanizmach opisanych w ich politykach prywatności.

Dane osób związanych z wizytówkami firm

Wizytówki firm mogą zawierać informacje pochodzące z publicznie dostępnych źródeł, takich jak OpenStreetMap, Google oraz inne legalnie dostępne źródła publiczne, a także informacje zgłoszone przez użytkowników.

W przypadku jednoosobowych działalności gospodarczych lub innych działalności prowadzonych przez osoby fizyczne niektóre informacje biznesowe — np. imię i nazwisko w nazwie firmy, zawodowe dane kontaktowe lub adres prowadzenia działalności — mogą stanowić dane osobowe.

Takie dane przetwarzamy w celu prowadzenia i aktualizowania katalogu usług motoryzacyjnych oraz umożliwienia użytkownikom wyszukiwania firm. Podstawą przetwarzania jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), polegający na prowadzeniu użytecznego katalogu publicznie dostępnych usług motoryzacyjnych.

Kategorie danych mogą obejmować nazwę firmy, imię i nazwisko przedsiębiorcy lub przedstawiciela, adres działalności, zawodowy numer telefonu, zawodowy adres e-mail, stronę internetową, godziny otwarcia i inne publiczne dane dotyczące działalności.

Źródłem danych mogą być publicznie dostępne serwisy i bazy danych, dostawcy map i informacji o miejscach oraz zgłoszenia użytkowników.

Dane przechowujemy tak długo, jak jest to potrzebne do prowadzenia aktualnej wizytówki firmy. Osoba, której dane dotyczą, może zwrócić się do nas o dostęp, sprostowanie, usunięcie lub ograniczenie przetwarzania oraz wnieść sprzeciw na zasadach opisanych w sekcji dotyczącej praw osób.

4. Jak długo przechowujemy dane

Dane konta, pojazdów i historii serwisowej oraz ulubione usługi motoryzacyjne: do usunięcia przez Ciebie lub do usunięcia konta.
Wydatki, dane ubezpieczenia i załączniki: najpóźniej do usunięcia konta. Skanowane dokumenty: jak poniżej.
Skanowane dokumenty: skan, którego nie zapiszesz — 7 dni od przesłania albo wcześniej, jeżeli z niego zrezygnujesz; obraz zapisanego skanu — z subskrypcją Pro tak długo, jak istnieje wpis (jako jego załącznik, w granicach limitu załączników), bez niej usuwany zaraz po zapisaniu, chyba że wyraziłeś zgodę na przechowywanie skanów do trenowania; obrazy przechowywane do trenowania — do wycofania zgody albo usunięcia wpisu, skanu lub konta, nie dłużej niż 24 miesiące od przesłania. Dane zapisanego skanu i próby rozpoznania: do usunięcia utworzonych z niego wpisów, skanu lub konta; odpowiedź modelu usuwamy po 90 dniach. Po usunięciu skanu (innym niż wraz z kontem) jego zapis i próby rozpoznania przechowujemy jeszcze 32 dni (do tego czasu wliczają się do miesięcznego limitu skanów), a następnie usuwamy trwale. W Google: tylko na czas odczytywania pliku; żądanie oznaczone jako możliwe nadużycie — do 90 dni.
Dane zakupów: identyfikator rozliczeniowy i stan Pro — do usunięcia konta; zapis zdarzeń zakupu — 12 miesięcy od jego otrzymania; po usunięciu konta zapis ten nie zawiera już identyfikatora Twojego konta i nie możemy go z Tobą powiązać, a do końca tego okresu służy wyłącznie statystykom przychodów i zwrotów. Po usunięciu konta zlecamy RevenueCat usunięcie dotyczących Cię danych i ponawiamy to po 1, 7 i 30 dniach, na wypadek gdyby opóźnione powiadomienie ze sklepu lub odświeżenie wykonane przez Aplikację przed jej zamknięciem ponownie je utworzyło. Na urządzeniu identyfikator rozliczeniowy i stan zakupów pozostają do czasu otwarcia na nim ekranu zakupu przez inne konto albo do odinstalowania Aplikacji (sekcja 2, część o danych na urządzeniu). Apple i Google przechowują zapisy transakcji na podstawie własnych regulaminów.
Dane Inteligentnych podpowiedzi przechowywane na Twoim urządzeniu: przez okresy podane w sekcji 2, najpóźniej do wyłączenia funkcji (Twój wybór, aby pozostała wyłączona: do wylogowania), wylogowania lub odinstalowania Aplikacji. Na naszym serwerze ich nie przechowujemy.
Opinie i poprawki: do usunięcia przez Ciebie lub w ramach moderacji; możemy zachować anonimowe statystyki.
Dane o awariach i logi techniczne: w naszych systemach do 90 dni; u dostawców raportowania błędów i aktualizacji (Sentry, Expo) — zgodnie z okresami przechowywania tych dostawców, opisanymi w ich politykach.
Dane ochrony logowania (w tym zapisany na serwerze identyfikator urządzenia): usuwamy je po udanym zalogowaniu lub odzyskaniu hasła, a w pozostałych przypadkach — najpóźniej w ciągu 25 godzin od ostatniej nieudanej próby lub od zakończenia ostatniej blokady, w zależności od tego, który z tych momentów nastąpi później. Token urządzenia jest przechowywany na urządzeniu do usunięcia konta w Aplikacji na tym urządzeniu (zob. sekcja 2) i traci ważność po roku od jego wydania.
Dane analityczne powiązane z kontem: do 12 miesięcy. Pomiary onboardingu przed założeniem konta: do 90 dni. Następnie dane są usuwane.
Liczba próśb o ocenę Aplikacji i data ostatniej z nich: do usunięcia konta.
Logi dostarczania wiadomości e-mail: krótkookresowo, zgodnie z ustawieniami usługi Resend.
Zgłoszenia i korespondencja: przez czas potrzebny do rozpatrzenia sprawy, wykonania obowiązków prawnych i ustalenia, dochodzenia lub obrony roszczeń, w granicach obowiązujących przepisów.

Kopie zapasowe. Bazę danych i przesłane przez Ciebie dokumenty kopiujemy wyłącznie po to, by odtworzyć usługę po awarii. Podstawą jest nasz prawnie uzasadniony interes w zdolności do szybkiego przywrócenia dostępności danych w razie incydentu (art. 6 ust. 1 lit. f w zw. z art. 32 ust. 1 lit. c RODO). Kopie przechowujemy w postaci zaszyfrowanej w Unii Europejskiej (Cloudflare R2) i usuwamy automatycznie: kopie bieżące bazy danych po 30 dniach, kopie tygodniowe po 180 dniach, a kopie dokumentów około 30 dni po usunięciu oryginału. Do tego czasu usunięte dane — także po usunięciu konta lub sprzeciwie wobec analityki — mogą pozostawać w kopiach. Jeżeli odtworzymy dane z kopii, ponownie wykonamy usunięcia i sprzeciwy zgłoszone po jej sporządzeniu, które zarejestrowaliśmy. W tym celu przechowujemy w Unii Europejskiej przez 210 dni — dłużej niż najstarsza kopia zapasowa — zapis każdego sprzeciwu wobec analityki, każdego jego wycofania i każdego żądania usunięcia konta: identyfikator konta, rodzaj żądania i jego czas, nic więcej.

5. Twoje prawa

Zgodnie z RODO masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu oraz wycofania zgody w dowolnym momencie (np. wyłączając uprawnienie lokalizacji lub powiadomienia albo funkcję „Inteligentne podpowiedzi” bądź wycofując zgodę na przechowywanie skanów do trenowania). Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

Kopię danych konta, pojazdów, historii serwisowej, przypomnień, wydatków, ubezpieczeń, zapisanych miejsc, zakupów i danych analitycznych pobierzesz samodzielnie w Aplikacji: Profil → Konto i bezpieczeństwo → Pobierz moje dane (plik JSON). Prawo do przenoszenia danych dotyczy danych, które nam przekazałeś i które przetwarzamy na podstawie umowy lub zgody: otrzymasz je w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego, a jeżeli jest to technicznie możliwe — możesz żądać ich przesłania innemu administratorowi. Pozostałe dane, np. przesłane i zeskanowane dokumenty oraz próby rozpoznania, udostępnimy na prośbę wysłaną na privacy@carm8.app.

Prawo sprzeciwu (art. 21 RODO). Z przyczyn związanych z Twoją szczególną sytuacją możesz w każdej chwili wnieść sprzeciw wobec przetwarzania Twoich danych na podstawie naszego prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO), np. danych technicznych, danych o awariach, danych ochrony logowania, prób rozpoznania przechowywanych z Twoimi skanami czy danych w wizytówkach firm. Przestaniemy wtedy przetwarzać te dane, chyba że wykażemy ważne prawnie uzasadnione podstawy nadrzędne wobec Twoich interesów, praw i wolności albo podstawy do ustalenia, dochodzenia lub obrony roszczeń. Sprzeciw wobec przetwarzania danych ochrony logowania rozpatrzymy, jednak ochrona kont przed próbami odgadnięcia hasła stanowi z reguły ważną prawnie uzasadnioną podstawę nadrzędną wobec Twoich interesów, praw i wolności; dane te są w każdym razie usuwane automatycznie w terminach podanych w sekcji 4. Sprzeciw wobec analityki produktowej nie wymaga uzasadnienia i zawsze go uwzględnimy: najprościej wyłączysz ją przełącznikiem „Analityka” na ekranie Konto i bezpieczeństwo, możesz też napisać na privacy@carm8.app — szczegóły w sekcji 9.

Konto możesz usunąć bezpośrednio w ustawieniach Aplikacji; dane osobowe zostaną usunięte w ciągu 30 dni, chyba że prawo wymaga dłuższego przechowywania; o kopiach zapasowych — patrz sekcja 4.

Masz również prawo wnieść skargę do organu nadzorczego — w Polsce jest to Prezes Urzędu Ochrony Danych Osobowych (PUODO, uodo.gov.pl), który jest naszym wiodącym organem nadzorczym. Możesz też wnieść skargę do organu nadzorczego państwa Unii Europejskiej lub Europejskiego Obszaru Gospodarczego, w którym mieszkasz, pracujesz lub w którym doszło do domniemanego naruszenia (art. 77 RODO). Jeżeli mieszkasz w Szwajcarii, możesz wnieść skargę do Federalnego Inspektora Ochrony Danych i Informacji (EDÖB, edoeb.admin.ch). Jeżeli mieszkasz w Mołdawii, możesz wnieść skargę do Narodowego Centrum Ochrony Danych Osobowych (datepersonale.md). Jeśli mieszkasz w innym kraju, skargę możesz złożyć także do tamtejszego organu ochrony danych; na Ukrainie jest to Pełnomocnik Rady Najwyższej Ukrainy ds. Praw Człowieka (ombudsman.gov.ua).

Podanie danych jest dobrowolne, ale niezbędne do korzystania z konta — bez adresu e-mail i hasła albo logowania przez Google lub Apple nie możemy założyć konta ani synchronizować danych między urządzeniami. Z Aplikacji możesz korzystać także w trybie gościa, bez podawania danych kontaktowych. Dane zakupów są niezbędne do kupienia subskrypcji Pro lub przekazania napiwku; bez nich nie możemy sprzedać ani odblokować Pro. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na jej podstawie przed wycofaniem.

6. Bezpieczeństwo

Dane są przesyłane przez HTTPS/TLS. Dostęp do danych konta w Aplikacji jest chroniony uwierzytelnianiem i kontrolami uprawnień. Po 5 nieudanych próbach z rzędu logowanie za pomocą adresu e-mail i hasła jest tymczasowo blokowane na 15 minut, po następnych 5 — na 1 godzinę, a po każdych kolejnych 5 — na 24 godziny. Jeżeli przez 24 godziny nie było nieudanych prób ani blokad, liczenie prób zaczyna się od nowa. Blokadę znosi odzyskanie hasła; nie wpływa ona na logowanie przez Google lub Apple. Kopii swoich danych możesz zażądać, a konto usunąć — zgodnie z opisem powyżej.

Stosujemy odpowiednie środki techniczne i organizacyjne służące ochronie danych. Jednocześnie żaden system informatyczny nie może zagwarantować całkowitego wyeliminowania ryzyka.

7. Dzieci

Aplikacja jest przeznaczona dla osób, które ukończyły 16 lat. Świadomie nie zbieramy danych dzieci poniżej tego wieku.

8. Strona internetowa i pliki cookie

Strona carm8.app nie używa plików cookie do śledzenia ani analityki. Zapisujemy wyłącznie Twój wybór języka w pamięci lokalnej przeglądarki (localStorage), co jest niezbędne do prawidłowego działania strony.

Formularz zgłoszeń przygotowuje treść w Twojej przeglądarce. Nie wysyła jej automatycznie ani nie zapisuje pól formularza w pamięci lokalnej strony. Dane otrzymamy dopiero, gdy wyślesz przygotowane zgłoszenie e-mailem; operator Twojej poczty przetwarza wiadomość zgodnie ze swoimi zasadami.

9. Analityka aplikacji

Aby zrozumieć korzystanie z Aplikacji i poprawiać jej funkcje, zbieramy zdarzenia korzystania. Analityka produktowa jest własna (first-party): zdarzenia trafiają do naszej bazy danych hostowanej przez Railway. Nie korzystamy z zewnętrznego dostawcy analityki produktowej; raportowanie błędów (Sentry) opisują sekcje 2 i 3.

Dla kont, w tym kont gości, rejestrujemy:

utworzenie konta i metodę logowania (Google, Apple albo e-mail i hasło);
utworzenie konta gościa, jego powiązanie z kontem oraz nieudane powiązanie z powodu istniejącego konta (metoda, bez danych drugiego konta);
dodanie pojazdu (marka oraz — dla pojazdu z katalogu — model; bez roku, numeru rejestracyjnego i VIN);
ustawienie przypomnienia (typ, np. OC lub przegląd);
dodanie wpisu serwisowego lub wydatku (dla wydatku: kategoria, to, czy dodałeś go z Inteligentnej podpowiedzi, oraz sposób wyboru miejsca: z ulubionych, z wyszukiwania, wpisane ręcznie, wskazane w podpowiedzi albo bez miejsca);
Inteligentne podpowiedzi: rozpoczęcie, ukończenie lub pominięcie konfiguracji funkcji (na którym ekranie oraz czy rozpoznawanie wizyt i powiadomienia zostały w pełni włączone), utworzenie podpowiedzi, jej otwarcie (z powiadomienia lub z listy), odrzucenie i wygaśnięcie, wykluczenie miejsca oraz wyłączenie funkcji. Zdarzenia te zawierają tylko rodzaj miejsca (stacja paliw albo serwis) — nigdy samo miejsce, lokalizację, trasę ani kwotę. Aplikacja wysyła je tylko wtedy, gdy jest otwarta, a ich czas zapisujemy z dokładnością do pełnej godziny; godzina otwarcia podpowiedzi z powiadomienia może więc wskazywać, kiedy prawdopodobnie byłeś na stacji paliw lub w serwisie;
prośbę Aplikacji o ocenę w App Store lub Google Play oraz moment, który ją wywołał (przypomnienie ustawione podczas onboardingu, Twój drugi lub każdy kolejny wpis, oznaczenie przypomnienia jako wykonanego albo wybranie przez Ciebie opcji „Oceń Zovano”); sklepy nie informują nas, czy i jak oceniłeś Aplikację;
dni aktywnego korzystania oraz platformę, z której korzystasz (iOS albo Android);
skąd znasz Aplikację, jeśli zdecydujesz się odpowiedzieć — jedna z ustalonych odpowiedzi, nigdy dowolny tekst.

Zakupów nie rejestrujemy jako zdarzeń analitycznych. Aby ustalić, jak często wyświetla się ekran zakupu, zliczamy jego dzienne wyświetlenia w podziale na miejsce w Aplikacji, z którego został otwarty, i na platformę, bez identyfikatora konta; nie zliczamy wyświetleń na kontach, które wniosły sprzeciw wobec analityki.

Aby statystyki dotyczyły ludzi, a nie automatycznych testów, nasz serwer porównuje adres IP każdego żądania — w pamięci, bez zapisywania — z zakresami adresów publikowanymi przez Google dla urządzeń Firebase Test Lab, na których Google Play automatycznie testuje nowe wersje Aplikacji. Żądania z tych zakresów obsługujemy normalnie, ale nie zapisujemy dla nich zdarzeń analitycznych, pomiarów onboardingu ani dni aktywności.

Zdarzenia są pseudonimowe: powiązane z identyfikatorem konta i bez VIN, numeru rejestracyjnego, adresu e-mail czy treści notatek. Nie stosujemy automatycznego przechwytywania interakcji ani nagrywania sesji. Nie sprzedajemy danych analitycznych, nie używamy ich do reklamy ani śledzenia w innych aplikacjach i serwisach.

Podstawa prawna. Analitykę produktową przetwarzamy na podstawie naszego prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO), jakim jest poznanie sposobu korzystania z Aplikacji, wykrywanie problemów z użytecznością oraz podejmowanie decyzji dotyczących rozwoju i poprawy funkcji na podstawie rzeczywistego korzystania z produktu. Zakres zdarzeń i właściwości jest ograniczony.

Twoje prawo sprzeciwu. W każdej chwili możesz wnieść sprzeciw wobec analityki produktowej, bez podawania powodu. Najprościej zrobisz to w Aplikacji: Profil → Konto i bezpieczeństwo → wyłącz przełącznik „Analityka”; działa to także w trybie gościa. Od tej chwili nie rejestrujemy zdarzeń analitycznych Twojego konta, a zdarzenia i dni aktywności zarejestrowane wcześniej usuwamy bez zbędnej zwłoki. Możesz też napisać na privacy@carm8.app z adresu e-mail powiązanego z kontem. Jeżeli korzystasz z trybu gościa lub nie podałeś nam adresu e-mail, dołącz identyfikator konta — pole id w sekcji user pliku pobranego przez „Pobierz moje dane” na tym samym ekranie. Po przypisaniu takiego sprzeciwu do Twojego konta postąpimy tak samo. Nie musisz zamykać konta, aby wnieść sprzeciw. Kopie zapasowe opisuje sekcja 4.

Pomiar onboardingu przed założeniem konta. Mierzymy rozpoczęcie onboardingu, rozpoczęcie i przebieg dodawania auta (w tym otwarcie wyboru marki) oraz pierwszego serwisu (dodanie lub pominięcie), propozycję przypomnienia (pokazanie, ustawienie lub pominięcie), pokazanie propozycji rejestracji, rozpoczęcie rejestracji oraz czas do pierwszego wpisu. W zależności od kroku zdarzenie może zawierać źródło modelu (katalog lub własny wpis), rodzaj przypomnienia (olej, przegląd, opony lub OC) wraz z informacją, czy jego termin zaproponowaliśmy na podstawie pierwszego serwisu, metodę logowania lub czas trwania. Nie zapisujemy marki, modelu ani roku. Nie zapisujemy rodzaju pierwszego serwisu. Jeżeli jednak zaproponowaliśmy przypomnienie na jego podstawie, rodzaj przypomnienia (olej, przegląd lub opony) odpowiada rodzajowi tego serwisu. Dołączamy platformę i wersję Aplikacji. Czas zdarzenia zapisujemy z dokładnością do pełnej godziny.

Pomiary te nie są powiązane z kontem, imieniem ani adresem e-mail. Używają tymczasowego identyfikatora przechowywanego wyłącznie w pamięci Aplikacji, niezapisywanego na urządzeniu i znikającego po zakończeniu jej procesu. Samo zdarzenie analityczne onboardingu nie zawiera adresu IP. Niezależnie od tego standardowe logi techniczne infrastruktury mogą zawierać adres IP zgodnie z opisem danych technicznych powyżej.

Podstawą jest prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) w ustaleniu, gdzie nowi użytkownicy napotykają trudności. Pomiary te nie są powiązane z kontem ani z innymi danymi, które pozwalałyby ustalić, kogo dotyczą. Nie jesteśmy więc w stanie zidentyfikować Twoich pomiarów i — zgodnie z art. 11 RODO — nie możemy ich wskazać ani usunąć na podstawie sprzeciwu. Usuwamy je automatycznie po 90 dniach (sekcja 4).

10. Zmiany polityki

Możemy aktualizować niniejszą politykę, np. przy dodawaniu funkcji lub zmianie dostawców. O istotnych zmianach — w szczególności nowych celach przetwarzania, nowych odbiorcach danych lub przekazywaniu danych do nowych państw — poinformujemy Cię co najmniej 14 dni przed ich wejściem w życie e-mailem, a jeżeli nie mamy Twojego adresu e-mail — komunikatem w Aplikacji. Poprzednie wersje polityki są dostępne w archiwum, do którego prowadzi odnośnik w nagłówku.

11. Kontakt

Anton Trafimuk · al. Polski Walczącej 26, 00-712 Warszawa · privacy@carm8.app