1. Administrator danych
Administratorem danych PappAI jest Electric Flock Ltd, spółka zarejestrowana w Anglii i Walii (numer rejestracyjny 16375990), z siedzibą pod adresem 27 Old Gloucester Street, Londyn, Wielka Brytania WC1N 3AX.
Zapytania dotyczące prywatności: privacy@pappai.it. Ogólna pomoc: support@pappai.it.
2. Zakres niniejszej polityki
Niniejsza polityka dotyczy danych osobowych przetwarzanych przez Electric Flock Ltd jako administrator, konkretnie danych dotyczących specjalistów ds. żywienia rejestrujących się lub korzystających z platformy PappAI.
PappAI działa również jako podmiot przetwarzający, gdy specjaliści ds. żywienia (działający jako administratorzy we własnym imieniu) korzystają z platformy do przechowywania i zarządzania danymi zdrowotnymi swoich pacjentów. W tej roli nasze przetwarzanie jest regulowane Umową o Przetwarzaniu Danych (DPA) zawartą ze specjalistą, a nie niniejszą polityką. Specjalista pozostaje wyłącznie odpowiedzialny za zgodność z prawem przetwarzania danych swoich pacjentów oraz za dostarczanie pacjentom odpowiednich informacji o prywatności.
3. Dane osobowe zbierane o specjalistach
- Dane konta: imię i nazwisko, adres e-mail, rola zawodowa i dane uwierzytelniające podane przy rejestracji.
- Dane rozliczeniowe: plan subskrypcji, status płatności. Dane karty są przetwarzane bezpośrednio przez Stripe i nie są przechowywane przez Electric Flock Ltd.
- Dane użytkowania i operacyjne: znaczniki czasu logowania, interakcje z funkcjami i raporty błędów niezbędne do obsługi i ulepszania usługi.
- Logi bezpieczeństwa i audytu: rejestry dostępu i logi interakcji z AI przechowywane do celów monitorowania bezpieczeństwa i zgodności.
- Komunikacja: prośby o wsparcie i korespondencja przesyłana do naszego zespołu.
4. Cele i podstawy prawne
| Cel | Podstawa prawna (UK RODO / EU RODO) |
|---|---|
| Świadczenie platformy SaaS i usługi subskrypcji | Art. 6(1)(b): wykonanie umowy |
| Tworzenie konta i uwierzytelnianie | Art. 6(1)(b): wykonanie umowy |
| Rozliczenia i przetwarzanie płatności | Art. 6(1)(b): wykonanie umowy; Art. 6(1)(c): obowiązek prawny (VAT, rachunkowość) |
| Monitorowanie bezpieczeństwa, zapobieganie nadużyciom i logowanie audytu | Art. 6(1)(f): uzasadniony interes (ochrona platformy i jej użytkowników) |
| Ulepszanie usługi i debugowanie | Art. 6(1)(f): uzasadniony interes (poprawa niezawodności i doświadczenia użytkownika) |
| Przestrzeganie obowiązków prawnych i regulacyjnych | Art. 6(1)(c): obowiązek prawny |
Nie używamy danych powierzonych nam przez Ciebie jako użytkownika platformy — w tym danych dotyczących zdrowia — do reklamy, profilowania w celach marketingowych ani do zautomatyzowanego podejmowania decyzji wywołujących skutki prawne lub podobnie istotne. Wyłącznie na publicznej stronie pappai.it i tylko po wyrażeniu przez Ciebie zgody na kategorię Marketing stosujemy piksele pomiaru reklam: zob. Cookie Policy.
5. Odbiorcy i podprocesory
Dane osobowe udostępniamy wyłącznie tam, gdzie jest to niezbędne do świadczenia usługi. Naszymi kluczowymi odbiorcami i podprocesorami są:
- Google LLC / Google Ireland Ltd (Firebase Authentication, Firebase Cloud Messaging, Google Cloud Platform, Cloud Run, Cloud Storage, Vertex AI, Google Workspace dla konsultacji wideo Meet; Google Analytics 4 do analizy publicznej strony internetowej, za zgodą): uwierzytelnianie, infrastruktura, AI, powiadomienia push, wideokonferencje.
- Stripe, Inc.: przetwarzanie płatności specjalisty (SaaS) oraz płatności pacjent-specjalista za pośrednictwem Stripe Connect. Stripe działa jako niezależny administrator w odniesieniu do niektórych danych płatniczych na mocy obowiązującego prawa.
- Brevo / Sendinblue SAS (siedziba: Paryż, FR): wysyłka transakcyjnych i marketingowych wiadomości e-mail, zarządzanie listą wykluczeń.
- Twilio Inc.: wysyłka opcjonalnych SMS (przypomnienia o wizytach, uwierzytelnianie dwuskładnikowe).
- Meta Platforms Ireland Ltd (WhatsApp Cloud API; Meta Pixel na publicznej stronie internetowej, po wyrażeniu zgody marketingowej): wiadomości WhatsApp tam, gdzie zostały autoryzowane przez użytkownika, oraz pomiar kampanii reklamowych. W zakresie wiadomości WhatsApp Meta działa jako podmiot przetwarzający; w zakresie danych zbieranych przez piksel działa jako współadministrator razem z nami, w granicach zbierania i przekazywania.
- A-Cube S.r.l.: techniczny pośrednik fiskalny dla włoskiej e-fakturyzacji (SDI) oraz transmisji do Sistema Tessera Sanitaria, jeśli ma zastosowanie.
- Microsoft Corporation (wyłącznie po wyrażeniu zgody na analitykę): Microsoft Clarity do analityki użytkowania publicznej strony internetowej.
- OpenAI Ireland Limited (siedziba: Dublin, IE; dla użytkowników zamieszkałych poza EOG i Szwajcarią administratorem jest OpenAI OpCo, LLC, San Francisco, US), wyłącznie po wyrażeniu zgody marketingowej: piksel pomiarowy ChatGPT Ads na publicznej stronie internetowej, do atrybucji kampanii reklamowych. W zakresie danych zbieranych przez piksel OpenAI działa jako niezależny administrator.
Nie sprzedajemy danych osobowych osobom trzecim. Dane platformy i dane dotyczące zdrowia nie są udostępniane sieciom reklamowym. Na publicznej stronie internetowej, po wyrażeniu zgody na kategorię Marketing, piksele pomiarowe opisane w Cookie Policy przekazują odpowiednim dostawcom dane nawigacyjne oraz zdarzenie rejestracji. Aktualna lista podprocesorów (w tym aktualne wersje DPA) jest dostępna na żądanie pod adresem privacy@pappai.it.
6. Transfery międzynarodowe
Niektórzy z naszych podprocesorów (w tym Google i Stripe) mogą przetwarzać dane poza Wielką Brytanią i Europejskim Obszarem Gospodarczym. Tam, gdzie takie transfery mają miejsce, opieramy się na odpowiednich zabezpieczeniach:
- W przypadku transferów z Wielkiej Brytanii: UK International Data Transfer Agreement (IDTA) lub UK Addendum do standardowych klauzul umownych UE.
- W przypadku transferów z EOG: Standardowe Klauzule Umowne (SCCs) Komisji Europejskiej.
- W stosownych przypadkach, decyzje stwierdzające odpowiedni poziom ochrony przyjęte przez Sekretarza Stanu Wielkiej Brytanii lub Komisję Europejską.
7. Okres przechowywania
- Dane konta specjalisty: przechowywane przez czas trwania subskrypcji i przez okres do 3 lat po zamknięciu konta, w celu rozstrzygania sporów i wypełniania zobowiązań ustawowych.
- Dane zdrowotne pacjentów (art. 9 RODO): przetwarzane przez PappAI jako podmiot przetwarzający w imieniu specjalisty (Administratora). Okres przechowywania jest ustalany przez specjalistę na podstawie jego własnych obowiązków zawodowych i deontologicznych oraz obowiązujących obowiązków podatkowych; PappAI nie działa jako archiwum dokumentacji medycznej ani samodzielnie nie narzuca terminów przechowywania dokumentacji klinicznej. Zasady reguluje Umowa o Przetwarzaniu Danych (DPA).
- Dane rozliczeniowe i finansowe: przechowywane przez 10 lat we Włoszech (art. 2220 włoskiego Kodeksu cywilnego) oraz 7 lat w Wielkiej Brytanii, w zależności od jurysdykcji obowiązującej administratora/specjalistę.
- Dane przekazywane do włoskiego Sistema Tessera Sanitaria: przechowywane przez 10 lat do celów podatkowych (art. 2220 włoskiego Kodeksu cywilnego).
8. Twoje prawa
Na mocy UK RODO i EU RODO przysługują Ci następujące prawa dotyczące Twoich danych osobowych:
- Prawo dostępu: do uzyskania kopii danych osobowych, które przechowujemy na Twój temat.
- Prawo do sprostowania: do poprawienia nieprawidłowych danych.
- Prawo do usunięcia: do wnioskowania o usunięcie danych, z zastrzeżeniem ustawowych obowiązków przechowywania.
- Prawo do ograniczenia przetwarzania: do ograniczenia sposobu przetwarzania Twoich danych w określonych okolicznościach.
- Prawo do przenoszenia danych: do otrzymania danych w ustrukturyzowanym, czytelnym maszynowo formacie.
- Prawo do sprzeciwu: do wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie.
- Prawo do niepodlegania zautomatyzowanym decyzjom: nie podejmujemy wyłącznie zautomatyzowanych decyzji wywołujących skutki prawne lub podobnie istotne.
Aby skorzystać z któregokolwiek z tych praw, skontaktuj się z nami pod adresem privacy@pappai.it. Odpowiemy w ciągu miesiąca. Nie pobieramy opłat za standardowe wnioski.
9. Prawo do złożenia skargi do organu nadzorczego
Jeśli przebywasz w Wielkiej Brytanii, masz prawo złożyć skargę do Information Commissioner's Office (ICO): ico.org.uk.
Jeśli przebywasz w Unii Europejskiej, możesz złożyć skargę do organu nadzorczego w kraju swojego zamieszkania lub siedziby (np. Urząd Ochrony Danych Osobowych: UODO w Polsce, Garante Privacy we Włoszech, AEPD w Hiszpanii, CNIL we Francji).
Zachęcamy do pierwszego kontaktu z nami, abyśmy mogli bezpośrednio zająć się Twoją sprawą.
10. Dane dotyczące zdrowia i aktywności w aplikacji mobilnej (Apple Health / HealthKit)
Aplikacja mobilna PappAI jest udostępniana bezpośrednio Tobie, użytkownikowi końcowemu, a w odniesieniu do danych opisanych w tej sekcji Electric Flock Ltd działa jako administrator danych. Konto możesz założyć za pomocą adresu e-mail, Google lub Sign in with Apple. Za Twoją wyraźną zgodą aplikacja może łączyć się z Apple Health (HealthKit) na iOS (oraz z równoważnymi platformami w innych systemach) aby zaimportować Twoje dane dotyczące aktywności i pomiarów ciała w celu śledzenia postępów. To połączenie jest całkowicie opcjonalne: aplikacja jest w pełni funkcjonalna bez niego, a dostęp możesz w każdej chwili przyznać lub cofnąć w ustawieniach systemowych urządzenia.
Po włączeniu integracji aplikacja odczytuje z Apple Health następujące dane:
- Masa ciała
- Liczba kroków oraz aktywnie spalona energia (kalorie)
- Tętno
- Wzrost, procent tkanki tłuszczowej i analiza snu, tylko jeśli udzielisz opcjonalnego dodatkowego zezwolenia
Gdy rejestrujesz informacje w PappAI i tylko jeśli na to zezwolisz, aplikacja zapisuje następujące dane z powrotem w Apple Health, aby Twoje wpisy pozostały zsynchronizowane:
- Masa ciała, którą rejestrujesz w aplikacji
- Spożycie wody (nawodnienie), które rejestrujesz w aplikacji
Dane dotyczące zdrowia i aktywności, które zdecydujesz się udostępnić, są przesyłane na nasze serwery (Google Cloud Platform) wyłącznie w celu zapewnienia funkcji śledzenia postępów w aplikacji oraz (jeśli jesteś powiązany ze specjalistą ds. żywienia) udostępnienia ich temu specjaliście w ramach platformy. Przetwarzamy te dane na podstawie Twojej wyraźnej zgody (Art. 9(2)(a) UK/EU GDPR) oraz w celu wykonania umowy z Tobą (Art. 6(1)(b)). Nigdy nie wykorzystujemy danych Apple Health (HealthKit) (ani żadnych innych danych dotyczących zdrowia i aktywności) do celów reklamowych ani marketingowych, nigdy ich nie sprzedajemy i nigdy nie udostępniamy ich osobom trzecim do ich własnych celów. Dane HealthKit są wykorzystywane wyłącznie do udostępniania funkcji zdrowotnych i fitness w PappAI, zgodnie z wymaganiami HealthKit firmy Apple.
Jeśli korzystasz z opcjonalnej funkcji rozpoznawania posiłków przez AI, zdjęcie posiłku, które wykonasz, jest przetwarzane przez naszego podwykonawcę AI (Google Vertex AI) wyłącznie w celu oszacowania produktów i ich wartości odżywczych widocznych na obrazie. Zdjęcia posiłków nie są wykorzystywane do reklam ani do trenowania reklamowych modeli osób trzecich; to przetwarzanie reguluje Sekcja 5 (podmioty przetwarzające) oraz Sekcja 6 (transfery międzynarodowe).
Apple Health możesz odłączyć w dowolnym momencie w Ustawieniach iOS, a usunięcia zsynchronizowanych danych zdrowotnych możesz zażądać poprzez usunięcie konta w aplikacji lub kontaktując się pod adresem privacy@pappai.it (zob. Sekcja 7 dotycząca przechowywania).
11. Zmiany w niniejszej polityce
Możemy od czasu do czasu aktualizować niniejszą politykę. Gdy dokonujemy istotnych zmian, powiadamiamy zarejestrowanych użytkowników pocztą elektroniczną lub za pośrednictwem powiadomienia w aplikacji co najmniej 14 dni przed datą wejścia w życie zmian. Bieżąca wersja i data jej obowiązywania są wyświetlane u góry tej strony.