titkar
Załóż konto Do aplikacji

Polityka prywatności

Obowiązuje od: [DATA WEJŚCIA W ŻYCIE]

Wersja robocza przed oficjalnym startem aplikacji. Ten dokument jest projektem Polityki prywatności i jeszcze nie obowiązuje. Zacznie obowiązywać wraz z oficjalnym uruchomieniem Titkar, a do tego czasu jego treść może się zmienić.

1. Kto przetwarza dane

Titkar to aplikacja dla gabinetów (masażu, fizjoterapii, kosmetyki, wellness), która służy do prowadzenia kalendarza wizyt, bazy klientów i przyjmowania rezerwacji online. Dostarcza ją [IMIĘ I NAZWISKO], prowadzący jednoosobową działalność gospodarczą pod firmą [FIRMA Z CEIDG], [ADRES], NIP [NIP], działający pod marką Flyingbits (dalej: „my”).

Nasza rola zależy od tego, czyje to dane:

  • Dane gabinetów (osób, które założyły konto w Titkar) — jesteśmy ich administratorem. Tę sytuację opisuje głównie ta polityka.
  • Dane klientów gabinetów (osób, które gabinet wpisał do aplikacji albo które zarezerwowały wizytę przez stronę rezerwacji) — administratorem jest gabinet, a my przetwarzamy je w jego imieniu jako podmiot przetwarzający, na podstawie umowy powierzenia (Załącznik nr 1 do Regulaminu).

W sprawach danych osobowych napisz do nas: contact@titkar.pl.

2. Informacja dla klientów gabinetów

Jeśli rezerwujesz wizytę przez stronę rezerwacji albo gabinet zapisał Cię w Titkar, o Twoich danych decyduje ten gabinet. W sprawie dostępu, poprawienia lub usunięcia danych skontaktuj się najpierw z gabinetem — dane administratora (imię i nazwisko albo nazwa firmy oraz adres) i kontakt do gabinetu są pod formularzem na stronie rezerwacji. Jeśli napiszesz do nas, przekażemy Twoją prośbę gabinetowi.

Dane podane przy rezerwacji gabinet przetwarza, aby umówić i przeprowadzić wizytę (art. 6 ust. 1 lit. b RODO). Nie musisz wyrażać na to osobnej zgody. Jak długo gabinet przechowuje dane, decyduje gabinet — w Titkar są one przechowywane do czasu, aż gabinet je usunie albo usunie swoje konto.

W imieniu gabinetu przetwarzamy:

  • imię i nazwisko, numer telefonu, adres e-mail;
  • historię wizyt i próśb o rezerwację (termin, usługa, cena, status);
  • notatki gabinetu, które mogą zawierać informacje o zdrowiu;
  • jeśli gabinet korzysta z funkcji AI: nagrania głosowe gabinetu, zamieniane na tekst notatki, oraz automatyczne podsumowania notatek;
  • dane techniczne potrzebne do ochrony strony rezerwacji przed nadużyciami (zanonimizowane liczniki prób, przechowywane przez 1 dzień).

Na podany numer telefonu lub adres e-mail wysyłamy w imieniu gabinetu kod weryfikacyjny, potwierdzenie, przypomnienie i informację o odwołaniu wizyty.

Jeśli gabinet korzysta z funkcji AI, nagranie głosowe albo treść notatek jest przesyłana do OpenAI, aby zamienić nagranie na tekst lub przygotować podsumowanie. Nagrania nie zapisujemy — jest przetwarzane tylko na czas zamiany na tekst. OpenAI nie wykorzystuje tych danych do trenowania modeli i może je przechowywać do 30 dni w celu wykrywania nadużyć. O tym, czy korzystać z funkcji AI, decyduje gabinet.

3. Jakie dane, w jakim celu i na jakiej podstawie (gabinety)

  • Prowadzenie konta i świadczenie usługi — adres e-mail, hasło (w postaci zaszyfrowanej), nazwa gabinetu (dowolna nazwa wyświetlana, którą wpisujesz), telefon i adres gabinetu, adres strony rezerwacji, usługi, cennik, godziny pracy i ustawienia. Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO).
  • Płatności i faktury (gdy korzystasz z planu płatnego) — dane do faktury i historia płatności. Podstawa: obowiązek prawny wynikający z przepisów podatkowych i rachunkowych (art. 6 ust. 1 lit. c RODO).
  • Kontakt, reklamacje i wiadomości serwisowe — treść korespondencji. Podstawa: wykonanie umowy oraz nasz prawnie uzasadniony interes w odpowiadaniu na wiadomości (art. 6 ust. 1 lit. b i f RODO).
  • Opinie o aplikacji — treść opinii, ocena, kontekst (ekran, funkcja), informacje techniczne (platforma, rozmiar okna, wersja aplikacji) oraz zbiorcze statystyki konta: wiek konta w dniach, liczba klientów, usług i wizyt z ostatnich 30 dni, informacja, czy rezerwacje online są włączone. Statystyki nie zawierają danych klientów gabinetu. Podstawa: nasz prawnie uzasadniony interes w ulepszaniu aplikacji (art. 6 ust. 1 lit. f RODO).
  • Bezpieczeństwo i dochodzenie roszczeń — dane z logów serwerów (adres IP, czas, rodzaj żądania). Podstawa: prawnie uzasadniony interes w ochronie usługi i obronie przed roszczeniami (art. 6 ust. 1 lit. f RODO).

Podanie danych jest dobrowolne, ale bez adresu e-mail i hasła nie da się założyć konta. Nie podejmujemy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec Ciebie skutki prawne.

4. Odbiorcy danych

Korzystamy z usług zaufanych dostawców, którzy przetwarzają dane na nasze polecenie:

  • Supabase Inc. — baza danych, logowanie i funkcje serwerowe (dane przechowywane w UE, region Frankfurt);
  • Vercel Inc. — hosting strony i aplikacji;
  • SMSAPI (LINK Mobility Poland sp. z o.o.) — wysyłka SMS-ów do klientów gabinetów;
  • Resend (Plus Five Five, Inc.) — wysyłka e-maili (z serwerów w UE, region Irlandia);
  • OpenAI, L.L.C. / OpenAI Ireland Ltd. — zamiana nagrań głosowych na tekst i podsumowania notatek (funkcje AI);
  • Discord Inc. — wewnętrzne powiadomienia zespołu o nowych opiniach (treść opinii, nazwa gabinetu, skrócony identyfikator konta oraz informacje techniczne i statystyki opisane w punkcie 3 — bez adresu e-mail i danych klientów gabinetu);
  • [OPERATOR PŁATNOŚCI] — obsługa płatności za plany płatne;
  • biuro rachunkowe — w zakresie danych z faktur.

Dane możemy też przekazać organom państwowym, gdy wymagają tego przepisy prawa. Nie sprzedajemy danych i nie udostępniamy ich w celach reklamowych.

Ta lista jest też listą dalszych podmiotów przetwarzających dane klientów gabinetów w rozumieniu umowy powierzenia. Zmiany listy publikujemy tutaj co najmniej 7 dni przed ich wprowadzeniem, chyba że zmiana jest pilna ze względów bezpieczeństwa lub ciągłości działania aplikacji.

5. Przekazywanie danych poza EOG

Bazę danych i wysyłkę e-maili prowadzimy na serwerach w UE, a SMS-y wysyła polski operator. Część dostawców (Supabase, Vercel, Resend, OpenAI, Discord) ma jednak siedzibę w USA, a dane mogą trafiać do USA — w szczególności nagrania i notatki przesyłane do funkcji AI, treść opinii przesyłana do Discorda oraz dane potrzebne do wsparcia technicznego i obsługi zapytań do strony. Przekazanie danych odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework) wobec certyfikowanych firm albo standardowych klauzul umownych zatwierdzonych przez Komisję. Kopię zabezpieczeń możesz otrzymać, pisząc do nas.

6. Jak długo przechowujemy dane

  • Dane konta oraz dane klientów gabinetu — do usunięcia konta. Usunięcie konta w ustawieniach od razu usuwa je z bazy danych; z kopii zapasowych znikają w ciągu [OKRES ROTACJI KOPII, np. 7 dni].
  • Faktury i dane rozliczeniowe — 5 lat od końca roku, w którym wystawiono fakturę.
  • Korespondencja i reklamacje — do czasu przedawnienia ewentualnych roszczeń (co do zasady 3 lata, w przypadku konsumentów 6 lat).
  • Opinie o aplikacji — do usunięcia konta.
  • Nagrania głosowe — nie są przechowywane w Titkar; u OpenAI do 30 dni (wykrywanie nadużyć).
  • Liczniki prób na stronie rezerwacji — 1 dzień.
  • Logi serwerów — zgodnie z okresami dostawców, zwykle do 30 dni.

7. Twoje prawa

Masz prawo do:

  • dostępu do swoich danych i otrzymania ich kopii;
  • sprostowania danych;
  • usunięcia danych — także samodzielnie, usuwając konto w ustawieniach;
  • ograniczenia przetwarzania;
  • przeniesienia danych przetwarzanych na podstawie umowy;
  • sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (np. analizowania opinii);
  • wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Aby skorzystać z praw, napisz na contact@titkar.pl. Odpowiemy w ciągu miesiąca.

8. Pliki cookie i pamięć przeglądarki

Titkar nie używa plików cookie reklamowych ani narzędzi analitycznych śledzących użytkowników. W pamięci przeglądarki (localStorage) albo w pamięci aplikacji mobilnej zapisujemy tylko to, co jest niezbędne do działania:

  • sesję logowania, abyś nie musiał logować się przy każdym otwarciu;
  • Twoje ustawienia widoku (np. sposób grupowania wizyt);
  • pliki aplikacji zapisane przez service worker, aby działała jako PWA.

Te dane możesz w każdej chwili usunąć w ustawieniach przeglądarki — wtedy zostaniesz wylogowany.

9. Bezpieczeństwo

Połączenia z aplikacją są szyfrowane (HTTPS). Dane każdego gabinetu są oddzielone na poziomie bazy danych, więc gabinet widzi tylko swoich klientów. Hasła przechowujemy w postaci zaszyfrowanej, a kody weryfikacyjne rezerwacji tylko jako skróty kryptograficzne. Dostęp administracyjny do danych mają wyłącznie upoważnione osoby.

10. Zmiany polityki

Możemy zmieniać tę politykę, np. gdy dodamy nową funkcję albo zmienimy dostawcę. Zmiany obowiązują od opublikowania na tej stronie, a zmiany listy dostawców — zgodnie z punktem 4. O zmianach, które istotnie zmieniają sposób wykorzystania Twoich danych, poinformujemy e-mailem lub w aplikacji. Aktualna wersja jest zawsze dostępna na tej stronie.