Polityka prywatności aplikacji „Roamcrown”

1. Kto jest administratorem Twoich danych#

Administratorem danych osobowych przetwarzanych w aplikacji mobilnej „Roamcrown” (w polskich sklepach: „Roamcrown – Władca Gminy”), na stronach WWW pod adresem https://roamcrown.com (strona startowa, publiczne strony profili, gmin i regionów) oraz w panelu WWW pod adresem https://roamcrown.com/panel jest:

Konrad Litwinowicz, prowadzący jednoosobową działalność gospodarczą wpisaną do CEIDG, ul. Zawidowska 21 lok. 11, 54-106 Wrocław, NIP 8982297401, REGON 526287974 (dalej: „my”, „Administrator”).

Kontakt w sprawach danych osobowych: kontakt@roamcrown.com albo pisemnie na adres powyżej.

Nie wyznaczyliśmy inspektora ochrony danych. We wszystkich sprawach dotyczących danych pisz bezpośrednio do nas.

2. W skrócie#

• Aplikacja zbiera lokalizację GPS tylko w trakcie nagrywania, które sam włączasz (od „Start” do „Zakończ”), albo gdy sam importujesz trening.
• Trasa najpierw zapisuje się w telefonie, potem trafia na nasz serwer w Unii Europejskiej, który liczy zaliczone gminy i rankingi.
• Twoje trasy nigdy nie są publiczne. Przy zakładaniu konta domyślnie wybrany jest profil prywatny. Jeśli ustawisz profil publiczny, widać nazwę, zdjęcie profilowe, zaliczone gminy, tytuły Władcy Gminy i miejsca w rankingach.
• Przy imporcie ze zdjęć zdjęcia i ich współrzędne nie opuszczają telefonu. Na serwer trafia tylko lista gmin i daty.
• Z Health Connect czytamy tylko treningi (spacer, bieg, rower) z trasami i dzienne sumy kroków. Nie czytamy tętna, wagi, snu ani innych danych o zdrowiu i niczego nie zapisujemy do Health Connect.
• Nie sprzedajemy danych, nie pokazujemy reklam i nie używamy narzędzi analitycznych, reklamowych ani do raportowania awarii firm trzecich.
• Eksport wszystkich danych i usunięcie konta zrobisz sam w aplikacji (Ustawienia) albo na stronie https://roamcrown.com/konto/usun.

3. Jakie dane przetwarzamy#

3.1. Dane konta#

Z aplikacji można korzystać bez logowania (konto lokalne „gość”). Wtedy dane zostają tylko w telefonie i nie trafiają na nasz serwer, dopóki się nie zalogujesz. Po pierwszym zalogowaniu nagrania gościa są przenoszone na konto.

3.2. Dane o lokalizacji i aktywnościach (trasy GPS)#

To najważniejsza kategoria danych. Trasy pokazują, gdzie i kiedy byłeś, więc mogą ujawniać np. miejsce zamieszkania, pracy albo przyzwyczajenia. Traktujemy je jako dane o dokładnej lokalizacji i historii lokalizacji.

• W telefonie (lokalna baza SQLite): punkty trasy (szerokość i długość geograficzna, czas, dokładność pomiaru), odcinki między pauzami, rodzaj aktywności, stan kolejki wysyłki. Punkty zapisują się na bieżąco, żeby awaria aplikacji lub brak sieci nie skasowały nagrania.
• Na serwerze: rodzaj aktywności (spacer, bieg, rower), źródło (nagranie w aplikacji, plik GPX, Health Connect, serwis zegarka), czas rozpoczęcia i zakończenia, dystans, czas ruchu bez pauz, liczba punktów (w tym odrzuconych), oczyszczona trasa, długość trasy w każdej gminie, a z tego: zaliczone gminy (z datą pierwszej wizyty i źródłem: trasa / ręcznie / zdjęcie), odwiedzone miejsca i zabytki z albumów, punkty sezonowe, prowadzenia i tytuły Władcy Gminy, odznaki, ukończone albumy i wyzwania, statystyki.
• Serwer odrzuca punkty niedokładne (gorzej niż 50 m) i nierealne prędkości (spacer powyżej 12 km/h, bieg powyżej 30 km/h, rower powyżej 50 km/h) — patrz Regulamin.
• Powiadomienie „Nowa gmina!” w trakcie aktywności jest liczone w telefonie, bez wysyłania pozycji na serwer w tym celu.

Lokalizacja jest pobierana wyłącznie w trakcie nagrywania, które sam uruchamiasz, także przy zablokowanym ekranie. Na Androidzie działa wtedy usługa pierwszego planu ze stałym powiadomieniem; aplikacja nie ma uprawnienia do lokalizacji w tle poza nagrywaniem. Pauza i zakończenie nagrania wyłączają pobieranie lokalizacji.

3.3. Dane z Health Connect i kroki#

Tylko jeśli sam uruchomisz daną funkcję i wyrazisz zgodę w systemowym oknie:

• Treningi z Health Connect (Android): odczyt sesji ćwiczeń (ExerciseSession), tras ćwiczeń (ExerciseRoute; system może pytać o zgodę na każdą trasę osobno) i uprawnienie do danych starszych niż 30 dni (ReadHealthDataHistory). Bierzemy wyłącznie spacery, biegi i jazdy rowerem z trasą GPS (domyślnie z ostatnich 365 dni). Zaimportowany trening staje się zwykłą aktywnością (pkt 3.2) z oznaczeniem źródła.
• Dzienne sumy kroków z Health Connect (zgoda na odczyt kroków, READ_STEPS): data i liczba kroków danego dnia, bez kroków wpisanych w Health Connect ręcznie. Sumy są wysyłane na serwer do rankingu kroków.
• Kroki z czujnika telefonu w trakcie nagrywania: podczas nagrywania spaceru lub biegu aplikacja liczy kroki czujnikiem kroków telefonu (zgoda Androida „Aktywność fizyczna”, ACTIVITY_RECOGNITION). Liczba kroków jest zapisywana przy aktywności. Poza nagrywaniem aplikacja nie korzysta z czujnika.
• Ranking kroków (tygodniowy i miesięczny: znajomi, klub, kraj, globalnie): pokazuje Twoją nazwę i sumę kroków zgodnie z ustawieniem prywatności profilu (przy profilu prywatnym obcy widzą „Gracz prywatny”).
• Apple Health (iOS) — po udostępnieniu wersji na iPhone'a: odczyt treningów i ich tras (HKWorkoutRoute) na tych samych zasadach; nic nie zapisujemy do aplikacji Zdrowie.

Nie odczytujemy tętna, kalorii, wagi, snu, cyklu ani żadnych innych danych o zdrowiu. Dane o aktywności fizycznej (rodzaj, czas i dystans treningu, trasa, liczba kroków) nie są naszym zdaniem danymi dotyczącymi zdrowia w rozumieniu art. 9 RODO, bo same w sobie nie ujawniają informacji o stanie zdrowia. Mimo to traktujemy je ostrożnie: pobieramy je z telefonu tylko za Twoją zgodą systemową, używamy wyłącznie do funkcji gry (kolekcja, rankingi, statystyki), nie łączymy z innymi danymi o zdrowiu, nie udostępniamy ich do reklam ani do oceny zdolności kredytowej lub ubezpieczeniowej i nie sprzedajemy ich. Zgody wycofasz w ustawieniach Androida (Aplikacje → Roamcrown → Uprawnienia → Aktywność fizyczna) i w Health Connect (Uprawnienia aplikacji → Roamcrown); od tej chwili nie pobieramy nowych danych.

3.4. Zdjęcia (import historii ze zdjęć) — przetwarzanie tylko w telefonie#

Jeśli uruchomisz import ze zdjęć i dasz dostęp do galerii (pełny albo do wybranych zdjęć), aplikacja w telefonie odczytuje datę i lokalizację zapisaną w zdjęciach (metadane EXIF), ustala gminę na podstawie granic zapisanych w telefonie i pokazuje Ci listę. Same zdjęcia ani ich współrzędne nie są wysyłane na serwer. Po Twoim potwierdzeniu na serwer trafiają tylko: identyfikator gminy, najwcześniejsza data wizyty i oznaczenie „ze zdjęcia”. Postęp przeglądania galerii jest zapisywany w telefonie, żeby nie zaczynać od nowa.

3.5. Dane społecznościowe i treści#

• Znajomi: zaproszenia, akceptacje, daty.
• Kluby: nazwa, opis, kolor, gmina klubu, rola (założyciel/członek), data dołączenia.
• Feed: zdarzenia o Twoich osiągnięciach (nowe gminy, tytuły, odznaki, ukończone albumy, dołączenie do klubu, ukończone wyzwania) i kibicowanie („kudos”).
• Zgłoszenia podejrzanych wyników (e-mailem): kogo zgłaszasz, opis, Twój e-mail, wynik rozpatrzenia.
• Zgłoszenia treści (DSA art. 16; przycisk „Zgłoś” w aplikacji, formularz https://roamcrown.com/zglos albo e-mail): co zgłaszasz (nazwa lub zdjęcie gracza, nazwa lub opis klubu) wraz z kopią tej treści z chwili zgłoszenia, powód z listy, opcjonalny opis (do 1000 znaków), oświadczenie o dobrej wierze, data, źródło (aplikacja / strona), język oraz zgłaszający: identyfikator konta (w aplikacji) albo — na stronie WWW — e-mail, jeśli go podasz (bez e-maila zgłoszenie jest anonimowe i nie dostaniesz informacji o wyniku). Adresu IP nie zapisujemy (limit zgłoszeń z jednego adresu liczymy tylko w pamięci serwera). Do zgłoszenia dopisujemy decyzję moderatora: rodzaj (treść zostaje / usunięta / zmieniona, ewentualna sankcja konta), uzasadnienie, datę i osobę decydującą. Autor zgłoszonej treści nie dowiaduje się, kto ją zgłosił.
• Moderacja: stan konta (aktywne / zawieszone do określonej daty / zablokowane) z powodem, unieważnienie aktywności z powodem, zmiany Twoich treści przez moderatora (nazwa zmieniona na neutralną, ukryte zdjęcie profilowe, nazwa lub opis klubu, którego jesteś założycielem), dziennik decyzji moderacji dotyczących Ciebie (jaka decyzja, kiedy, powód, kto ją podjął — w eksporcie bez tożsamości administratora) i Twoje odwołania (treść do 2000 znaków, opcjonalnie aktywność, odpowiedź). Uzasadnienie decyzji wysyłamy do skrzynki w aplikacji, powiadomieniem push i — jeśli konto ma adres e-mail z Google — e-mailem.
• Konkursy: wyniki i wygrane. Rabaty partnerów: odblokowane oferty, kody, oznaczenie wykorzystania.

3.6. Powiadomienia i urządzenia#

• Treść powiadomień w skrzynce w aplikacji (tytuł, treść, typ, powiązane dane, data odczytu).
• Token powiadomień push urządzenia (Firebase Cloud Messaging) i platforma, daty rejestracji i ostatniego użycia.

3.7. Połączenia z serwisami zegarków i liczników#

Jeśli połączysz konto z Garmin, Polar, COROS, Suunto lub Wahoo (gdy dana integracja jest dostępna w aplikacji): identyfikator konta u dostawcy, zakres uprawnień, tokeny dostępu OAuth (zaszyfrowane w bazie, nigdy jawnie), daty połączenia i ostatniej synchronizacji, ostatni błąd, a także lista zaimportowanych treningów dostawcy (identyfikator, status importu) — żeby nie importować ich dwa razy. Treningi z tych serwisów stają się aktywnościami (pkt 3.2). Integracje są włączane stopniowo, po uzyskaniu dostępu do programów partnerskich dostawców.

Strava. Jeśli połączysz konto Strava (gdy ta integracja jest dostępna), pobieramy (zakres activity:read, tylko aktywności widoczne dla „Wszyscy” lub „Obserwujący”, bez stref prywatności) identyfikator sportowca, tokeny OAuth oraz dla każdej nowej aktywności z GPS: rodzaj sportu, czas startu i trasę (punkty GPS z czasem). Dane pobieramy automatycznie, gdy Strava powiadomi nas o nowej aktywności; wcześniejszych nie pobieramy. Zgodnie z regulaminem Strava API dane ze Stravy pokazujemy wyłącznie Tobie: zaliczają gminy w Twojej kolekcji, ale nie trafiają do rankingów, punktów sezonu, konkursów, klubów, feedu, profilu publicznego ani statystyk zbiorczych. Surową trasę GPS ze Stravy usuwamy po 7 dniach (zostaje wynik: przecięte gminy, dystans). Aktywność usuniętą na Stravie (albo ustawioną jako „Tylko Ty”) usuwamy u nas, gdy Strava nas o tym powiadomi (zwykle od razu, najpóźniej w 48 godzin). Zgodę wycofasz w aplikacji („Odłącz”) albo na stronie strava.com/settings/apps — wtedy od razu usuwamy tokeny, aktywności zaimportowane ze Stravy i gminy zaliczone tylko nimi. Strava, Inc. może zbierać i wykorzystywać dane o korzystaniu z jej API na własnych zasadach.

3.8. Dane techniczne i bezpieczeństwa#

• Sesje logowania: skrót (hash) tokenu odświeżania, identyfikator urządzenia przekazany przez aplikację, daty utworzenia, wygaśnięcia i unieważnienia. Sam token nie jest przechowywany jawnie.
• Adres IP: używany do ograniczania liczby zapytań (ochrona przed nadużyciami); licznik jest trzymany tylko w pamięci serwera przez okno czasowe (zwykle 60 sekund) i nie jest zapisywany w bazie.
• Logi serwera: komunikaty aplikacji i błędy oraz logi dostępowe serwera pośredniczącego (Caddy): data, adres strony (bez kodów logowania i tokenów w adresie), kod odpowiedzi, czas, przeglądarka/aplikacja i skrócony adres IP (bez ostatniego bajtu IPv4, IPv6 do prefiksu /48). Nie zapisujemy ciasteczek ani nagłówków z tokenami. Logi są usuwane automatycznie po 14 dniach.
• Metryki techniczne (liczba zapytań, czasy odpowiedzi, obciążenie serwera, stan zadań w tle) bez danych osobowych i bez identyfikatorów użytkowników, przechowywane 15 dni.

3.9. Dane w telefonie#

Oprócz tras (pkt 3.2) aplikacja trzyma w telefonie: konto lokalne, kopię zaliczonych gmin, granice gmin (dane publiczne), ustawienia, kopię odpowiedzi serwera, ostatnio sprawdzony stan Premium i pobrane mapy offline. Tokeny logowania są w bezpiecznym magazynie systemu (Android Keystore przez Expo SecureStore). Usunięcie aplikacji usuwa te dane z telefonu.

3.10. Zakup Premium#

Premium kupisz w aplikacji na Androida przez Google Play albo — gdy panel pokazuje przycisk zakupu — na stronie WWW (panel) przez Stripe. Danych karty ani innych danych płatniczych nie widzimy i nie przechowujemy.

• Google Play: płatność obsługuje Google na własnych zasadach (Google jest odrębnym administratorem danych płatności i konta Google Play). Stan subskrypcji prowadzi dla nas RevenueCat, Inc. (pkt 5): dostaje od aplikacji identyfikator Twojego konta w naszym serwisie (albo losowy identyfikator, gdy nie jesteś zalogowany) oraz dane zakupu ze sklepu (produkt, daty zakupu i końca okresu, kraj, waluta i cena, identyfikator transakcji).
• Stripe (strona WWW): dane karty lub innej metody płatności podajesz bezpośrednio na stronie płatności Stripe. Stripe Payments Europe, Limited przetwarza je jako dostawca usług płatniczych (odrębny administrator w zakresie obowiązków prawnych, np. przeciwdziałania praniu pieniędzy i oszustwom) i jako nasz podmiot przetwarzający w zakresie obsługi płatności. Przy pierwszym zakupie zakładamy w Stripe klienta z adresem e-mail konta, językiem i identyfikatorem konta w serwisie. Na stronie płatności Stripe zbiera adres rozliczeniowy lub kraj (do ustalenia stawki VAT — Stripe Tax, procedura OSS), imię i nazwisko lub nazwę oraz — jeśli go podasz — NIP / numer VAT UE do faktury; fakturę wystawia i wysyła Stripe w naszym imieniu. My dostajemy od Stripe: identyfikator klienta, subskrypcji, faktury i płatności, plan, kwotę, walutę, daty i status płatności oraz zwrotów. Karty, jej ostatnich cyfr ani adresu rozliczeniowego nie zapisujemy na naszym serwerze; widzisz je w portalu klienta Stripe („Zarządzaj subskrypcją”), gdzie też zmieniasz metodę płatności, pobierasz faktury i anulujesz subskrypcję.
• Na naszym serwerze zapisujemy: do kiedy działa Premium, plan, kanał zakupu, czy subskrypcja się odnowi, identyfikator klienta i subskrypcji Stripe (przy zakupie na stronie), zdarzenia płatności (typ zdarzenia, produkt, sklep, środowisko, daty, wynik), a przy zwrocie po odstąpieniu od umowy — decyzję o zwrocie (kwota zapłacona i zwrócona, okres, data oświadczenia, powód, kto zdecydował) — bez danych karty. W telefonie zapisujemy ostatnio sprawdzony stan subskrypcji, żeby funkcje Premium działały offline.
• Potwierdzenie zawarcia umowy (plan, cena, okres, pouczenie o prawie odstąpienia, Regulamin w załączniku) wysyłamy e-mailem przez Resend (pkt 5) na adres konta Gracza lub adres podany przy płatności.
• Usunięcie konta anuluje subskrypcję kupioną na stronie (Regulamin § 11 ust. 4). Klient w Stripe i faktury zostają w Stripe przez okres wymagany przepisami podatkowymi (pkt 7); decyzje o zwrotach zostają u nas bez powiązania z kontem.

Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO), obowiązki prawne związane z reklamacjami, rozliczeniami podatkowymi i rachunkowością (lit. c) oraz zapobieganie nadużyciom płatniczym (lit. f).

3.11. Lista oczekujących#

Na stronie startowej (https://roamcrown.com) możesz zapisać się na listę osób, którym napiszemy o starcie aplikacji. Zapisujemy wtedy:

• adres e-mail (małymi literami),
• opcjonalnie gminę, którą wybierzesz w formularzu,
• język strony, z której się zapisujesz (w nim piszemy),
• datę zapisu, datę zaznaczenia zgody, datę potwierdzenia adresu oraz datę i liczbę wysłanych maili z linkiem.

Nie zapisujemy adresu IP ani danych przeglądarki (adres IP jest tylko chwilowo w pamięci serwera do ograniczenia liczby prób, pkt 3.8). Zapis wymaga potwierdzenia (tzw. double opt-in): wysyłamy jeden e-mail z linkiem, a adres trafia na listę dopiero po jego kliknięciu. W tej wiadomości i w każdej kolejnej jest link do wypisania; wypisanie od razu usuwa wpis. Poza tym mailem dostaniesz jedną wiadomość o starcie aplikacji; nie wysyłamy newslettera ani reklam.

Podstawa prawna: Twoja zgoda (art. 6 ust. 1 lit. a RODO) obejmująca także zgodę na otrzymanie tej wiadomości drogą elektroniczną, którą wycofasz w każdej chwili linkiem z maila albo pisząc na kontakt@roamcrown.com; wycofanie nie wpływa na zgodność z prawem wcześniejszego przetwarzania. Maile wysyła dla nas Resend (pkt 5).

4. Cele i podstawy prawne#

Podanie danych jest dobrowolne, ale bez logowania przez Google nie założysz konta na serwerze (możesz używać aplikacji jako gość, bez rankingów i synchronizacji), a bez zgody na lokalizację nie nagrasz trasy (możesz importować GPX).

5. Komu przekazujemy dane (odbiorcy i podmioty przetwarzające)#

Nie sprzedajemy danych. Korzystamy z następujących dostawców:

Wikipedia, Wikidata, dane.gov.pl (NID) i OpenStreetMap: pobieramy z nich dane publiczne wyłącznie z naszego serwera; Twoje dane do nich nie trafiają. Linki do Wikipedii i NID otwierają się w przeglądarce dopiero, gdy je klikniesz.

Przekazywanie danych poza EOG#

Część dostawców (Google, Cloudflare, RevenueCat, Stripe, Resend, Expo) może przetwarzać dane w USA. Podstawą jest decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony w ramach EU-US Data Privacy Framework (dla podmiotów certyfikowanych) albo standardowe klauzule umowne przyjęte przez Komisję (art. 46 ust. 2 lit. c RODO) zawarte w umowach powierzenia tych dostawców, wraz z dodatkowymi zabezpieczeniami (szyfrowanie w transmisji). Kopię zabezpieczeń możesz otrzymać, pisząc na kontakt@roamcrown.com.

6. Co widzą inni użytkownicy i odwiedzający strony#

Pamiętaj: nawet bez tras zaliczone gminy i tytuły mówią, w jakich okolicach bywasz.

7. Jak długo przechowujemy dane#

8. Twoje prawa#

Masz prawo do:

• dostępu do danych i kopii (art. 15) oraz przenoszenia danych (art. 20) — w aplikacji: Ustawienia → „Pobierz moje dane” (także na stronie https://roamcrown.com/konto/usun). Dostajesz plik JSON z profilem, aktywnościami (z trasami), zaliczeniami, odznakami, tytułami, znajomymi, powiadomieniami, sesjami, urządzeniami, własnymi zgłoszeniami, integracjami, klubami, feedem, kibicowaniem, wizytami w miejscach, albumami, wyzwaniami, rabatami, wygranymi w konkursach, moderacją i Premium;
• sprostowania (art. 16) — nazwę wyświetlaną zmienisz w aplikacji, w pozostałym zakresie napisz do nas;
• usunięcia (art. 17) — w aplikacji: „Usuń konto” albo na stronie https://roamcrown.com/konto/usun. Usuwamy od razu konto i wszystkie dane z serwera (w tym trasy i historię tytułów Władcy; wpis o wygranej w konkursie zostaje w wynikach bez powiązania z kontem, a dane rozliczeniowe — na czas wymagany przepisami, pkt 7), wycofujemy zgody u połączonych dostawców zegarków, a przy klubie, którego jesteś założycielem, własność przechodzi na najdłużej należącego członka (pusty klub znika). Usuwamy też cudze powiadomienia z Twoją nazwą. Pojedyncze aktywności i ręczne wpisy gmin możesz usuwać w aplikacji;
• ograniczenia przetwarzania (art. 18) i sprzeciwu (art. 21) wobec przetwarzania opartego na prawnie uzasadnionym interesie;
• cofnięcia zgody w każdej chwili (bez wpływu na zgodność z prawem wcześniejszego przetwarzania) — w ustawieniach telefonu (Health Connect, Aktywność fizyczna, Zdjęcia, Lokalizacja, Powiadomienia) albo linkiem „wypisz” z maila;
• skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

W innych sprawach napisz na kontakt@roamcrown.com. Odpowiemy w ciągu miesiąca (art. 12 ust. 3 RODO); w razie potrzeby możemy przedłużyć ten termin o kolejne dwa miesiące, informując Cię o tym.

9. Zautomatyzowane decyzje i profilowanie#

Serwer automatycznie liczy zaliczone gminy, punkty sezonowe, rankingi (także ranking kroków), tytuły Władcy Gminy, kontrolę gmin przez kluby i wyniki konkursów, a także odrzuca punkty trasy niezgodne z zasadami uczciwej gry (np. za duża prędkość). To ocena wyników sportowych według jawnych zasad z Regulaminu; nie wywołuje wobec Ciebie skutków prawnych ani nie wpływa na Ciebie w podobnie istotny sposób, więc nie jest decyzją w rozumieniu art. 22 RODO. Wyniki konkursów z nagrodami organizator może zweryfikować ręcznie, a każdy wynik możesz zakwestionować (regulamin konkursu). Sankcje wobec kont i aktywności (unieważnienie aktywności, wykluczenie z rankingu kroków, zawieszenie, blokada) i decyzje o zgłoszonych treściach (zmiana nazwy, ukrycie zdjęcia, usunięcie opisu klubu) podejmuje człowiek (administrator) po analizie; aplikacja ich nie nakłada automatycznie i nie filtruje treści automatycznie. Decyzja trafia do dziennika moderacji, a Ty widzisz jej powód i możesz się odwołać.

Przy płatnościach na stronie WWW Stripe automatycznie ocenia ryzyko oszustwa (np. podejrzana karta) i może odrzucić płatność; w takiej sytuacji możesz zapłacić inną metodą albo skontaktować się z nami.

Nie profilujemy Cię w celach marketingowych.

10. Dzieci#

Konto na serwerze może założyć osoba, która ukończyła 16 lat; przy pierwszym logowaniu potwierdzasz to w aplikacji. Nie zbieramy daty urodzenia. Jeśli dowiemy się, że konto założyła osoba młodsza niż 16 lat, usuniemy je wraz z danymi. Rodzic lub opiekun może w takiej sprawie napisać na kontakt@roamcrown.com.

11. Pliki cookie i pamięć przeglądarki (strony WWW i panel)#

• Strona startowa, publiczne strony profili, gmin i regionów oraz strony z dokumentami nie ustawiają plików cookie. Strona startowa zapamiętuje w pamięci sesji przeglądarki (sessionStorage, klucz rc-map), że animacja mapy już się odtworzyła; wpis znika po zamknięciu karty i nie zawiera danych osobowych. Czcionki i bibliotekę mapy serwujemy z własnego serwera, więc strony nie łączą się z serwerami innych firm. Wyjątki: zdjęcie profilowe z Google (googleusercontent.com) na stronie profilu, a na stronie usuwania konta przycisk logowania Google, który wczytujemy dopiero po kliknięciu „Zaloguj się przez Google” (patrz pkt 5).
• Panel WWW (/panel) i strona usuwania konta po zalogowaniu używają:
  • ciasteczka __Host-wg_rt z tokenem odświeżania sesji (HttpOnly, Secure, SameSite=Strict, ważne do 180 dni, usuwane przy wylogowaniu) — niezbędne do utrzymania logowania, o które prosisz, dlatego nie wymaga zgody (art. 399 ustawy z 12 lipca 2024 r. — Prawo komunikacji elektronicznej);
  • pamięci sesji przeglądarki (sessionStorage, klucz wg.panel.access) z tokenem dostępu, który znika po zamknięciu karty;
  • pamięci przeglądarki (localStorage, klucz wg.panel.lang) z wybranym językiem panelu, jeśli zmienisz go przełącznikiem.
  • Przycisk logowania Google (Google Identity Services) może ustawiać własne pliki cookie Google na zasadach Google.
• Płatność na stronie WWW odbywa się na stronie Stripe, która może używać własnych niezbędnych plików cookie (bezpieczeństwo płatności, zapobieganie oszustwom).
• Jeśli ruch do strony przechodzi przez Cloudflare (pkt 5), Cloudflare może ustawić niezbędne ciasteczko bezpieczeństwa służące do odróżniania ruchu ludzi od botów.
• Nie używamy cookie analitycznych ani reklamowych, więc nie pokazujemy banera zgody.

12. Bezpieczeństwo#

• Połączenie z serwerem wyłącznie przez HTTPS (HSTS); wersja produkcyjna aplikacji nie łączy się bez https.
• Tokeny logowania w telefonie w systemowym magazynie (Keystore); na serwerze tylko skróty tokenów odświeżania, rotacja tokenów i unieważnianie całej sesji przy próbie ponownego użycia skradzionego tokenu.
• Tokeny integracji zegarków szyfrowane w bazie.
• Pseudonimy kont prywatnych liczone z tajnego klucza serwera, różne w każdej gminie.
• Ograniczanie liczby zapytań, nagłówki bezpieczeństwa (CSP), uruchamianie usługi bez uprawnień administratora, baza dostępna tylko z serwera aplikacji.
• Przetwarzanie zdjęć wyłącznie w telefonie; obcinanie 200 m końców tras na kartach do udostępnienia.
• Kopie zapasowe szyfrowane przed wysłaniem z serwera kluczem publicznym (age); klucza do odszyfrowania nie ma na serwerze ani u dostawcy magazynu. Serwery: zapora (otwarte tylko SSH, HTTP, HTTPS), ochrona przed próbami włamania, logowanie administratora wyłącznie kluczem SSH, automatyczne poprawki bezpieczeństwa.

13. Zmiany polityki#

O istotnych zmianach poinformujemy w aplikacji (ekran akceptacji nowej wersji) co najmniej 14 dni przed ich wejściem w życie. Poprzednie wersje udostępniamy na żądanie wysłane na kontakt@roamcrown.com.