Polityka prywatności

Kto odpowiada za Twoje dane

Administratorem danych jest Marcin Chuć z siedzibą we Wrocławiu, ul. Przyjaźni 6c/3, NIP 8842279975, REGON 020349997 — operator platformy dobry.doctor. Kontakt w sprawach danych: [email protected].

Najważniejsze w jednym zdaniu

Twoje karty są szyfrowane na Twoim telefonie kluczem, który masz tylko Ty — my go nie mamy, więc nie możemy zobaczyć Twoich kart, numerów ani haseł, nawet gdybyśmy chcieli. Nie wiemy też, w których sklepach masz karty.

Jakie dane zapisujesz w aplikacji

Nazwę karty, opis karty (np. „Praca 2”), numer i kod kreskowy, posiadacza karty (np. „Mama”), notatkę, kolory karty, miejsca, które sam powiążesz z kartą, pola wymagane przez wydawcę karty (np. login, hasło albo PIN do sprawdzania punktów), stan punktów, a przy rodzinie — imiona bliskich (tak, jak się przedstawili) i ich klucze publiczne. To nie są dane o zdrowiu.

Gdzie są Twoje dane

• Na telefonie — zawsze zaszyfrowane. Klucz powstaje na telefonie i jest chroniony blokadą, którą wybierzesz (blokada telefonu, PIN albo bez blokady).
• Na serwerze — tylko jeśli połączysz konto i włączysz synchronizację. Trafia tam wyłącznie zaszyfrowana kopia: dla nas to nieczytelny ciąg znaków.
• Klucz na serwerze — tylko jeśli sam to włączysz. Zapisujemy wtedy klucz zamknięty Twoim hasłem do klucza (hasła nie znamy). Dzięki temu karty działają w przeglądarce i odzyskasz je na nowym telefonie.
• Konto dobry.doctor — logowanie obsługuje auth.dobry.doctor (osobna polityka prywatności). Aplikacja dostaje z niego identyfikator konta, adres e-mail i imię — imię służy do powitania i jako podpowiedź „od kogo” przy wysyłaniu kart.

Karta sklepu w pobliżu

Żeby po otwarciu aplikacji pokazać kartę sklepu, w którym jesteś, telefon pobiera CAŁĄ listę sklepów z katalogu (bez względu na to, jakie masz karty) i sam liczy odległość. Twoje położenie nie opuszcza telefonu i nie jest zapisywane. Funkcję wyłączysz w Więcej → Karta w sklepie albo nie zgadzając się na dostęp do lokalizacji.

Skanowanie karty

Aparat służy do odczytania kodu i kolorów karty (kolor podstawowy i akcenty — żeby karta w aplikacji wyglądała jak prawdziwa). Obraz jest analizowany na telefonie, nie jest zapisywany ani nigdzie wysyłany; w karcie zostają tylko kolory.

Anonimowe wzorce kart

Gdy dodajesz kartę, aplikacja wysyła na nasz serwer jej anonimowy wzorzec, żeby analizować i ulepszać działanie aplikacji: kartę z katalogu albo nazwę, którą nadałeś karcie, typ kodu kreskowego i ZANONIMIZOWANY układ numeru — każda cyfra zamieniona na 9, każda litera na A (wielka) albo a (mała), np. „BCD12345” → „AAA99999”. Nie przesyłamy numeru karty ani treści kodu, opisu karty, posiadacza, pól wydawcy, notatki, kolorów ani zdjęć. Wzorzec nie jest powiązany z Twoim kontem, urządzeniem ani adresem IP. Dzięki wzorcom dopasowujemy okładki i typy kodów w katalogu oraz poprawnie formatujemy kolejne dodawane karty. Wyłączysz to w Więcej → Prywatność → Anonimowe wzorce kart.

Przekazywanie kart bliskim

Link z kartą zawiera klucz po znaku „#” — tej części przeglądarki i aplikacje nie wysyłają do serwera. Serwer przechowuje kartę zaszyfrowaną tym kluczem do wygaśnięcia linku (1, 7 albo 30 dni) i wie tylko, ile razy link otwarto. W rodzinie serwer zna powiązanie kont (kto z kim) i przechowuje zaszyfrowane karty czekające na odbiór — bez ich treści. Link możesz wycofać, a osobę usunąć z rodziny w każdej chwili.

Stan punktów

Jeśli wydawca karty to udostępnia, aplikacja pyta jego serwer o stan punktów — z numerem karty i polami, których wymaga (np. PIN). Zapytanie wysyła telefon bezpośrednio do wydawcy. U niektórych wydawców pośredniczy nasz serwer: przekazuje zapytanie i odpowiedź, niczego nie zapisuje i nie łączy z Twoim kontem.

Powiadomienia

Jeśli włączysz powiadomienia, zapisujemy token Twojego urządzenia, żeby dać znać, że ktoś z rodziny wysłał Ci kartę albo dołączył do rodziny. Treść powiadomienia nie zawiera danych karty. Powiadomienia dostarczają Google (Firebase Cloud Messaging) i Apple (APNs) — na podstawie umów powierzenia i standardowych klauzul umownych.

Firmy — opiekunowie kart

Wydawca karty (np. sklep), który z nami współpracuje, może opisać swoją kartę w katalogu: logo, wygląd, lokalizacje sklepów i sposób sprawdzania punktów. Nie widzi Twojego konta ani innych Twoich kart; jeśli o to poprosi, dostaje tylko informację, że jego karta została dodana albo usunięta w CardMerry (niżej: „Informacja dla wydawcy karty”).

Informacja dla wydawcy karty

Niektórzy wydawcy kart (np. Brilliant Care — Karta DIAMENTY) chcą wiedzieć, że ich karta jest w CardMerry — tak jak przy Apple Wallet i Google Wallet. Gdy dodasz, usuniesz albo zmienisz numer takiej karty, aplikacja przekazuje wydawcy przez nasz serwer numer karty i zdarzenie („dodana” albo „usunięta”), podpisane kluczem CardMerry, żeby wydawca wiedział, że informacja pochodzi od nas. Wydawca zna już numer swojej karty — dowiaduje się tylko, że jest ona w CardMerry. Nie przekazujemy nic innego (konta, imienia, pól karty, salda, położenia), a nasz serwer niczego z tego nie zapisuje. Dotyczy tylko kart, których wydawca o to poprosił; jest to część usługi opisana w regulaminie i nie da się tego wyłączyć dla takiej karty — jeśli nie chcesz, żeby wydawca o tym wiedział, nie dodawaj jego karty do CardMerry.

Znaki towarowe

Prezentowane loga, nazwy i wzory kart są własnością ich właścicieli i są pokazywane wyłącznie w celu identyfikacji kart. Ich użycie nie oznacza współpracy, sponsorowania ani rekomendacji ze strony właścicieli — chyba że karta jest oznaczona jako prowadzona przez wydawcę.

Na jakiej podstawie

• Aplikacja, konto, synchronizacja, rodzina i stan punktów — wykonanie usługi, o którą prosisz (art. 6 ust. 1 lit. b RODO).
• Powiadomienia — Twoja zgoda (art. 6 ust. 1 lit. a RODO); wycofasz ją, wyłączając powiadomienia.
• Anonimowe wzorce kart — nasz prawnie uzasadniony interes: analiza i ulepszanie katalogu i aplikacji (art. 6 ust. 1 lit. f RODO); możesz je wyłączyć.
• Informacja dla wydawcy karty — wykonanie umowy, czyli usługi opisanej w regulaminie CardMerry (art. 6 ust. 1 lit. b RODO), oraz prawnie uzasadniony interes wydawcy: obsługa programu lojalnościowego, do którego należysz (art. 6 ust. 1 lit. f RODO).
• Bezpieczeństwo i dziennik techniczny (bez treści Twoich kart) — nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).

Jak naprawdę chronimy dane

• Szyfrowanie na urządzeniu algorytmem AES-256 — zanim cokolwiek opuści telefon.
• Klucz nigdy nie wychodzi z telefonu w postaci jawnej; chroni go sejf systemu (Keychain / Keystore) i wybrana blokada. Po kilku błędnych PIN-ach aplikacja wydłuża czas oczekiwania.
• Z blokadą aplikacja zamyka się sama po minucie w tle i zasłania karty w podglądzie ostatnio używanych aplikacji.
• Serwer nie ma Twojego klucza. Wyciek bazy danych nie ujawnia kart.
• Klucze serwera przechowujemy w zewnętrznym magazynie kluczy, a dane — na terenie Europejskiego Obszaru Gospodarczego.
• Połączenia są szyfrowane (HTTPS).

Ryzyko, o którym musisz wiedzieć

• Jeśli zapomnisz PIN-u i nie ustawisz hasła do klucza, nie da się odszyfrować kart — nikt, także my, nie ma zapasowego klucza.
• Bez blokady każdy, kto ma Twój odblokowany telefon, zobaczy karty i zapisane w nich hasła.
• Gdy włączysz „Klucz na serwerze”, bezpieczeństwo zależy od siły hasła do klucza: ktoś, kto wykradłby bazę albo przejął Twoje konto, mógłby próbować je odgadnąć. Użyj długiego, unikalnego hasła.
• Eksport „karty jawnie (JSON)” tworzy plik bez szyfrowania — przechowuj go ostrożnie.

Jak długo przechowujemy dane

• Na telefonie — dopóki ich nie usuniesz.
• Zaszyfrowana kopia i klucz na serwerze — dopóki korzystasz z synchronizacji; usuniesz je jednym przyciskiem.
• Linki z kartami — do wygaśnięcia (najdłużej 30 dni).
• Karty od rodziny czekające na odbiór — najdłużej 30 dni.
• Anonimowe wzorce kart — dopóki służą ulepszaniu katalogu (bez numerów, niepowiązane z kontem ani urządzeniem).
• Dziennik techniczny serwera (bez treści kart) — 60 dni.

Twoje prawa

Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia (eksport do pliku), wycofania zgody oraz skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa). Ponieważ nie mamy Twojego klucza, większość praw realizujesz sam w aplikacji: eksport, import, usunięcie kart z telefonu i z serwera. W innych sprawach napisz: [email protected].

Czego nie robimy

Nie sprzedajemy danych, nie pokazujemy reklam opartych na Twoich danych, nie profilujemy Cię i nie śledzimy, gdzie robisz zakupy. Aplikacja nie zawiera narzędzi analitycznych ani reklamowych — jedyne, co zbieramy do ulepszania aplikacji, to anonimowe wzorce kart opisane wyżej (bez numerów; możesz to wyłączyć). Grafika z przodu karty (od wydawcy) jest taka sama dla wszystkich.