Polityka Prywatności

Administratorem Twoich danych osobowych przetwarzanych w aplikacji Dzisiaj.Fun (dostępnej pod adresem dzisiaj.fun) jest Franciszek Niemczewski - Usługi IT z siedzibą w Baranówku, NIP: 7773460003.

W sprawach związanych z prywatnością i ochroną danych możesz kontaktować się pod adresem e-mail: f.niemczewski@dzisiaj.fun.

Aplikacja służy do zarządzania produktywnością oraz oferuje funkcję agregacji zewnętrznych kalendarzy. Zbieramy wyłącznie dane niezbędne do działania usługi:

• Dane wprowadzane przez użytkownika: Zadania, notatki, rachunki, nawyki, miejsca i inne treści, które samodzielnie dodajesz do lokalnej bazy aplikacji.
• Dane z kont Google i Microsoft: Adres e-mail oraz nazwa użytkownika (pobierane w momencie logowania przez system OAuth), służące do identyfikacji konta. Nie zbieramy i nie mamy dostępu do Twoich haseł.
• Wydarzenia z kalendarzy (Google Calendar / Microsoft Outlook): Za Twoją wyraźną zgodą pobieramy tytuły, godziny rozpoczęcia i zakończenia, opisy oraz lokalizacje wydarzeń w celu ich wyświetlenia na wspólnej siatce kalendarza wewnątrz aplikacji Dzisiaj.Fun.
• Tokeny autoryzacyjne (OAuth): Jeśli połączysz aplikację z zewnętrznym kalendarzem, przechowujemy token dostępu i token odświeżania. Umożliwiają one synchronizację kalendarza w tle. Tokeny są przechowywane w bezpiecznej, zaszyfrowanej bazie danych.
• Integracja ze Slackiem (opcjonalna): Jeśli połączysz konto Slack, przechowujemy identyfikator i nazwę przestrzeni roboczej, Twój identyfikator użytkownika Slack oraz zaszyfrowany token dostępu. Aplikacja prosi o uprawnienia do odczytu i zapisu list Slacka (lists:read, lists:write), odczytu plików (files:read) oraz odczytu użytkowników i ich adresów e-mail (users:read, users:read.email) – te ostatnie służą do dopasowania osób przypisanych do elementów listy. Z wybranymi przez Ciebie listami synchronizowane są tytuł, opis, termin, priorytet i status zadań, w obie strony.
• Powiadomienia push (opcjonalne): Po włączeniu powiadomień przechowujemy subskrypcję Web Push Twojej przeglądarki: adres usługi powiadomień i klucze szyfrujące. Treść powiadomień (np. przypomnienia) jest szyfrowana przed wysłaniem zgodnie ze standardem Web Push.
• Skróty Siri – automatyczny czas pracy (opcjonalne): Po wygenerowaniu tokenu w ustawieniach przechowujemy wyłącznie jego skrót kryptograficzny (SHA-256), datę utworzenia i datę ostatniego użycia – samego tokenu nie da się z nich odtworzyć. Skrót wywołany na Twoim urządzeniu tworzy lub zamyka wpis czasu pracy z godziną rozpoczęcia albo zakończenia.
• Lokalizacja (opcjonalna): Tylko po udzieleniu zgody w przeglądarce. Współrzędne służą do pokazania pogody, najbliższych przystanków i nazwy miejscowości. Ostatnia pozycja jest zapamiętywana wyłącznie w Twojej przeglądarce (nie w naszej bazie) i usuwana przy wylogowaniu.
• Finanse: Transakcje, płatności cykliczne i kategorie budżetu, które wpisujesz lub importujesz z pliku CSV z banku. Plik jest przetwarzany w przeglądarce; do bazy trafiają tylko zaimportowane transakcje.
• Nastrój (opcjonalny): Wpisy w module nastroju mogą ujawniać informacje o Twoim samopoczuciu, czyli dane o zdrowiu (art. 9 RODO). Moduł jest dobrowolny – możesz go wyłączyć w Ustawieniach → Moduły i usunąć wpisy.
• Dane innych osób, które wprowadzasz: Kontakty w module Osoby (imię, nazwisko, telefon, e-mail, data urodzin), adresy e-mail zaufanych osób, którym udostępniasz zadania, oraz dane w protokołach i pismach. Wprowadzasz je na własny użytek; dbaj, by te osoby wiedziały, że je przechowujesz.
• Uczestnicy ankiet terminów: Osoby, które odpowiadają na Twoją ankietę (także bez konta), podają imię, opcjonalnie e-mail, oraz zaznaczają terminy – zob. punkt 11.
• Dane techniczne: Logi błędów aplikacji z identyfikatorem konta, opisem błędu i datą (bez treści Twoich notatek czy zadań) – do diagnozowania problemów, przez 30 dni. Daty korzystania z aplikacji (bez godzin i szczegółów) – do liczenia serii w module postępów. Adres IP i identyfikator konta są przez krótki czas (do kilkunastu minut) używane do ograniczania liczby żądań, aby chronić usługę przed nadużyciami.

Nasza aplikacja korzysta z oficjalnych interfejsów API do komunikacji z Twoimi kontami w sposób bezpieczny i w pełni transparentny:

W każdej chwili możesz odłączyć integrację z Google Calendar lub Microsoft Outlook z poziomu ustawień kalendarza w aplikacji.

Pozostałe integracje wyłączysz w Ustawieniach: odłączenie Slacka usuwa token dostępu i konfigurację list (elementy już utworzone w Slacku pozostają w Twojej przestrzeni roboczej), wyłączenie powiadomień usuwa subskrypcję push, a unieważnienie tokenu Skrótów Siri usuwa jego skrót – skrót na telefonie przestaje wtedy działać.

Kopia i usunięcie wszystkich danych: w Ustawieniach → Użytkownik pobierzesz kopię wszystkich swoich danych w pliku JSON (bez tokenów dostępu) i usuniesz konto. Usunięcie konta kasuje wszystkie Twoje dane z bazy, pliki w magazynie, Twoje odpowiedzi w ankietach innych osób oraz konto logowania; dane w przeglądarce są czyszczone przy wylogowaniu.

Skutki odłączenia: Odłączenie konta powoduje natychmiastowe i bezpowrotne usunięcie z naszej bazy danych Twoich tokenów dostępowych, przypisanego adresu e-mail oraz pobranych wydarzeń. Aplikacja natychmiastowo traci dostęp do Twoich zewnętrznych kalendarzy.

• Umowa (art. 6 ust. 1 lit. b RODO) – przetwarzanie niezbędne do świadczenia usługi dostępu do aplikacji.
• Zgoda (art. 6 ust. 1 lit. a RODO) – integracje z kalendarzami Google i Microsoft oraz ze Slackiem, powiadomienia push i Skróty Siri są dobrowolne i włączasz je samodzielnie (w przypadku Google, Microsoft i Slacka – przez wyraźną zgodę w procesie OAuth).
• Zgoda (art. 6 ust. 1 lit. a RODO) – lokalizacja: przeglądarka pyta o nią przy pierwszym użyciu funkcji pogody lub transportu; zgodę cofniesz w ustawieniach przeglądarki.
• Wyraźna zgoda (art. 9 ust. 2 lit. a RODO) – wpisy w module nastroju, które mogą stanowić dane o zdrowiu. Zgodę wyrażasz, dodając wpis, a cofasz, usuwając wpisy lub wyłączając moduł.
• Uzasadniony interes (art. 6 ust. 1 lit. f RODO) – logi błędów i ograniczanie liczby żądań (stabilność i bezpieczeństwo usługi) oraz obsługa ankiet terminów dla uczestników bez konta.

Nie sprzedajemy, nie wynajmujemy i nie przekazujemy Twoich danych reklamodawcom ani brokerom danych. Połączenia są szyfrowane (HTTPS), dostęp do danych w bazie ogranicza reguła „tylko właściciel” (Row Level Security), a tokeny integracji są szyfrowane algorytmem AES-256-GCM. Dane przetwarzają w naszym imieniu lub otrzymują je – tylko w zakresie potrzebnym do danej funkcji – następujący odbiorcy:

• Supabase Inc. (USA) – baza danych, logowanie, magazyn plików i funkcje serwerowe.
• Vercel Inc. (USA) – hosting aplikacji.
• Upstash Inc. (USA) – krótkotrwałe liczniki żądań (adres IP lub identyfikator konta) do ochrony przed nadużyciami.
• Google LLC / Microsoft Corp. (USA) – logowanie oraz, po połączeniu, synchronizacja kalendarzy.
• Slack Technologies, LLC (USA) – tylko po połączeniu konta Slack: wymiana danych zadań z wybranymi listami.
• Usługi powiadomień przeglądarek (Google, Apple, Mozilla, Microsoft) – tylko po włączeniu powiadomień: dostarczają zaszyfrowaną treść.
• Open-Meteo (Szwajcaria) – prognoza pogody i jakość powietrza; przeglądarka wysyła współrzędne bezpośrednio do tej usługi.
• Photon / komoot GmbH (Niemcy) – nazwa miejscowości dla przybliżonych współrzędnych (zaokrąglonych do ok. 100 m), przez nasz serwer.
• Przewoźnicy i zarządcy infrastruktury – PEKA (Poznań), ZDiTM (Szczecin), PKP Polskie Linie Kolejowe S.A.: nazwy przystanków i stacji oraz numery pociągów potrzebne do pokazania odjazdów, przez nasz serwer (bez danych konta).
• The Movie Database (TMDB) – wyszukiwanie filmów i seriali (sam tytuł, przez nasz serwer).
• Narodowy Bank Polski – kursy walut w kalkulatorze (zapytanie bez danych osobowych).
• Wydawcy kanałów RSS wybranych przez Ciebie – pobieramy je z naszego serwera, bez danych konta.

Przekazywanie poza Europejski Obszar Gospodarczy: część odbiorców ma siedzibę w USA. Przekazanie odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) – dla podmiotów certyfikowanych – albo standardowych klauzul umownych (art. 46 ust. 2 lit. c RODO). Kopię zabezpieczeń możesz otrzymać, pisząc na adres z punktu 1. Szwajcaria ma decyzję Komisji stwierdzającą odpowiedni stopień ochrony.

Zgodnie z przepisami prawa (m.in. RODO), przysługuje Ci prawo do:

• Dostępu do swoich danych oraz sprostowania danych nieprawidłowych.
• Usunięcia danych ("prawo do bycia zapomnianym") – w każdej chwili możesz zażądać całkowitego usunięcia konta oraz wszystkich zgromadzonych informacji.
• Ograniczenia przetwarzania, sprzeciwu wobec przetwarzania na podstawie uzasadnionego interesu oraz przenoszenia danych – kopię w formacie JSON pobierzesz sam w Ustawieniach.
• Cofnięcia zgody na integracje zewnętrzne bez wpływu na zgodność z prawem przetwarzania przed jej cofnięciem.
• Wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

Aplikacja nie używa plików cookie ani innych technologii w celach marketingowych, śledzących czy analitycznych. Zapisujemy w Twojej przeglądarce tylko to, co jest niezbędne do działania usługi albo czego używasz:

• Cookie sesji (sb-…) – utrzymanie zalogowania; usuwane przy wylogowaniu.
• Cookie stanu logowania OAuth (Google, Outlook, Slack) – zabezpieczenie procesu łączenia konta; ważne 10 minut.
• Cookie „gps_permission” – zapamiętuje, czy zgodziłeś się na lokalizację (bez współrzędnych); ważne rok.
• localStorage – motyw jasny/ciemny, zamknięcie tej informacji, ostatnia pozycja (jeśli użyłeś lokalizacji), obserwowane tablice odjazdów, ustawienie powiadomień oraz token pozwalający poprawić odpowiedź w ankiecie terminów. Dane związane z kontem są usuwane przy wylogowaniu.
• IndexedDB – kopia ostatnio pobranych list (do pracy bez sieci) i zapisy wykonane bez sieci, czekające na wysłanie. Usuwane przy wylogowaniu i przy zalogowaniu innej osoby na tym urządzeniu.
• Pamięć service workera – pliki aplikacji (skrypty, style, ikony), bez Twoich danych.

Te zapisy są niezbędne do świadczenia usługi, o którą prosisz, więc nie wymagają odrębnej zgody (wyjątek dla zapisów niezbędnych do świadczenia usługi przewidziany w przepisach o plikach cookie).

• Dane podstawowe (treści użytkownika) – przez czas istnienia konta w aplikacji.
• Tokeny integracji kalendarzowych – wyłącznie do momentu odłączenia kalendarza lub usunięcia konta głównego.
• Token i konfiguracja integracji ze Slackiem – do momentu odłączenia Slacka lub usunięcia konta.
• Subskrypcje powiadomień push – do momentu wyłączenia powiadomień, wygaśnięcia subskrypcji w przeglądarce lub usunięcia konta.
• Skrót tokenu Skrótów Siri – do momentu jego unieważnienia, wygenerowania nowego tokenu lub usunięcia konta.
• Logi błędów – 30 dni (usuwane automatycznie każdej nocy).
• Liczniki ograniczania żądań – od kilkudziesięciu sekund do kilkunastu minut.
• Odpowiedzi w ankietach terminów – do usunięcia ankiety przez organizatora, usunięcia jego konta albo usunięcia odpowiedzi na prośbę uczestnika.

Z aplikacji mogą samodzielnie korzystać osoby, które ukończyły 16 lat (art. 8 RODO). Nie gromadzimy świadomie danych osób młodszych; jeśli dowiemy się o takim koncie, usuniemy je wraz z danymi. Osoba poniżej 16 lat może korzystać z aplikacji tylko za zgodą rodzica lub opiekuna prawnego.