# Polityka prywatności - PappAI

> W jaki sposób Electric Flock Ltd zbiera, używa i chroni Twoje dane osobowe.

Source: https://pappai.it/pl/privacy-policy

## 1. Administrator danych

Administratorem danych PappAI jest **Electric Flock Ltd**, spółka zarejestrowana w Anglii i Walii (numer rejestracyjny **16375990**), z siedzibą pod adresem 27 Old Gloucester Street, Londyn, Wielka Brytania WC1N 3AX.

Zapytania dotyczące prywatności: [privacy@pappai.it](mailto:privacy@pappai.it). Ogólna pomoc: [support@pappai.it](mailto:support@pappai.it).

## 2. Zakres niniejszej polityki

Niniejsza polityka dotyczy danych osobowych przetwarzanych przez Electric Flock Ltd jako **administrator**, konkretnie danych dotyczących specjalistów ds. żywienia rejestrujących się lub korzystających z platformy PappAI.

PappAI działa również jako **podmiot przetwarzający**, gdy specjaliści ds. żywienia (działający jako administratorzy we własnym imieniu) korzystają z platformy do przechowywania i zarządzania danymi zdrowotnymi swoich pacjentów. W tej roli nasze przetwarzanie jest regulowane Umową o Przetwarzaniu Danych (DPA) zawartą ze specjalistą, a nie niniejszą polityką. Specjalista pozostaje wyłącznie odpowiedzialny za zgodność z prawem przetwarzania danych swoich pacjentów oraz za dostarczanie pacjentom odpowiednich informacji o prywatności.

## 3. Dane osobowe zbierane o specjalistach

- **Dane konta:** imię i nazwisko, adres e-mail, rola zawodowa i dane uwierzytelniające podane przy rejestracji.
- **Dane rozliczeniowe:** plan subskrypcji, status płatności. Dane karty są przetwarzane bezpośrednio przez Stripe i nie są przechowywane przez Electric Flock Ltd.
- **Dane użytkowania i operacyjne:** znaczniki czasu logowania, interakcje z funkcjami i raporty błędów niezbędne do obsługi i ulepszania usługi.
- **Logi bezpieczeństwa i audytu:** rejestry dostępu i logi interakcji z AI przechowywane do celów monitorowania bezpieczeństwa i zgodności.
- **Komunikacja:** prośby o wsparcie i korespondencja przesyłana do naszego zespołu.

## 4. Cele i podstawy prawne

Cel | Podstawa prawna (UK RODO / EU RODO)
Świadczenie platformy SaaS i usługi subskrypcji | Art. 6(1)(b): wykonanie umowy
Tworzenie konta i uwierzytelnianie | Art. 6(1)(b): wykonanie umowy
Rozliczenia i przetwarzanie płatności | Art. 6(1)(b): wykonanie umowy; Art. 6(1)(c): obowiązek prawny (VAT, rachunkowość)
Monitorowanie bezpieczeństwa, zapobieganie nadużyciom i logowanie audytu | Art. 6(1)(f): uzasadniony interes (ochrona platformy i jej użytkowników)
Ulepszanie usługi i debugowanie | Art. 6(1)(f): uzasadniony interes (poprawa niezawodności i doświadczenia użytkownika)
Przestrzeganie obowiązków prawnych i regulacyjnych | Art. 6(1)(c): obowiązek prawny

Nie używamy danych powierzonych nam przez Ciebie jako użytkownika platformy — w tym danych dotyczących zdrowia — do reklamy, profilowania w celach marketingowych ani do zautomatyzowanego podejmowania decyzji wywołujących skutki prawne lub podobnie istotne. Wyłącznie na publicznej stronie pappai.it i tylko po wyrażeniu przez Ciebie zgody na kategorię Marketing stosujemy piksele pomiaru reklam: zob. Cookie Policy.

## 5. Odbiorcy i podprocesory

Dane osobowe udostępniamy wyłącznie tam, gdzie jest to niezbędne do świadczenia usługi. Naszymi kluczowymi odbiorcami i podprocesorami są:

- **Google LLC / Google Ireland Ltd** (Firebase Authentication, Firebase Cloud Messaging, Google Cloud Platform, Cloud Run, Cloud Storage, Vertex AI, Google Workspace dla konsultacji wideo Meet; Google Analytics 4 do analizy publicznej strony internetowej, za zgodą): uwierzytelnianie, infrastruktura, AI, powiadomienia push, wideokonferencje.
- **Stripe, Inc.**: przetwarzanie płatności specjalisty (SaaS) oraz płatności pacjent-specjalista za pośrednictwem Stripe Connect. Stripe działa jako niezależny administrator w odniesieniu do niektórych danych płatniczych na mocy obowiązującego prawa.
- **Brevo / Sendinblue SAS** (siedziba: Paryż, FR): wysyłka transakcyjnych i marketingowych wiadomości e-mail, zarządzanie listą wykluczeń.
- **Twilio Inc.**: wysyłka opcjonalnych SMS (przypomnienia o wizytach, uwierzytelnianie dwuskładnikowe).
- **Meta Platforms Ireland Ltd** (WhatsApp Cloud API; Meta Pixel na publicznej stronie internetowej, po wyrażeniu zgody marketingowej): wiadomości WhatsApp tam, gdzie zostały autoryzowane przez użytkownika, oraz pomiar kampanii reklamowych. W zakresie wiadomości WhatsApp Meta działa jako podmiot przetwarzający; w zakresie danych zbieranych przez piksel działa jako współadministrator razem z nami, w granicach zbierania i przekazywania.
- **A-Cube S.r.l.**: techniczny pośrednik fiskalny dla włoskiej e-fakturyzacji (SDI) oraz transmisji do Sistema Tessera Sanitaria, jeśli ma zastosowanie.
- **Microsoft Corporation** (wyłącznie po wyrażeniu zgody na analitykę): Microsoft Clarity do analityki użytkowania publicznej strony internetowej.
- **OpenAI Ireland Limited** (siedziba: Dublin, IE; dla użytkowników zamieszkałych poza EOG i Szwajcarią administratorem jest OpenAI OpCo, LLC, San Francisco, US), wyłącznie po wyrażeniu zgody marketingowej: piksel pomiarowy ChatGPT Ads na publicznej stronie internetowej, do atrybucji kampanii reklamowych. W zakresie danych zbieranych przez piksel OpenAI działa jako niezależny administrator.

Nie sprzedajemy danych osobowych osobom trzecim. Dane platformy i dane dotyczące zdrowia nie są udostępniane sieciom reklamowym. Na publicznej stronie internetowej, po wyrażeniu zgody na kategorię Marketing, piksele pomiarowe opisane w Cookie Policy przekazują odpowiednim dostawcom dane nawigacyjne oraz zdarzenie rejestracji. Aktualna lista podprocesorów (w tym aktualne wersje DPA) jest dostępna na żądanie pod adresem privacy@pappai.it.

## 6. Transfery międzynarodowe

Niektórzy z naszych podprocesorów (w tym Google i Stripe) mogą przetwarzać dane poza Wielką Brytanią i Europejskim Obszarem Gospodarczym. Tam, gdzie takie transfery mają miejsce, opieramy się na odpowiednich zabezpieczeniach:

- W przypadku transferów z Wielkiej Brytanii: UK International Data Transfer Agreement (IDTA) lub UK Addendum do standardowych klauzul umownych UE.
- W przypadku transferów z EOG: Standardowe Klauzule Umowne (SCCs) Komisji Europejskiej.
- W stosownych przypadkach, decyzje stwierdzające odpowiedni poziom ochrony przyjęte przez Sekretarza Stanu Wielkiej Brytanii lub Komisję Europejską.

## 7. Okres przechowywania

- **Dane konta specjalisty:** przechowywane przez czas trwania subskrypcji i przez okres do 3 lat po zamknięciu konta, w celu rozstrzygania sporów i wypełniania zobowiązań ustawowych.
- **Dane zdrowotne pacjentów (art. 9 RODO):** przetwarzane przez PappAI jako podmiot przetwarzający w imieniu specjalisty (Administratora). Okres przechowywania jest ustalany przez specjalistę na podstawie jego własnych obowiązków zawodowych i deontologicznych oraz obowiązujących obowiązków podatkowych; PappAI nie działa jako archiwum dokumentacji medycznej ani samodzielnie nie narzuca terminów przechowywania dokumentacji klinicznej. Zasady reguluje Umowa o Przetwarzaniu Danych (DPA).
- **Dane rozliczeniowe i finansowe:** przechowywane przez 10 lat we Włoszech (art. 2220 włoskiego Kodeksu cywilnego) oraz 7 lat w Wielkiej Brytanii, w zależności od jurysdykcji obowiązującej administratora/specjalistę.
- **Dane przekazywane do włoskiego Sistema Tessera Sanitaria:** przechowywane przez 10 lat do celów podatkowych (art. 2220 włoskiego Kodeksu cywilnego).

## 8. Twoje prawa

Na mocy UK RODO i EU RODO przysługują Ci następujące prawa dotyczące Twoich danych osobowych:

- **Prawo dostępu**: do uzyskania kopii danych osobowych, które przechowujemy na Twój temat.
- **Prawo do sprostowania**: do poprawienia nieprawidłowych danych.
- **Prawo do usunięcia**: do wnioskowania o usunięcie danych, z zastrzeżeniem ustawowych obowiązków przechowywania.
- **Prawo do ograniczenia przetwarzania**: do ograniczenia sposobu przetwarzania Twoich danych w określonych okolicznościach.
- **Prawo do przenoszenia danych**: do otrzymania danych w ustrukturyzowanym, czytelnym maszynowo formacie.
- **Prawo do sprzeciwu**: do wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie.
- **Prawo do niepodlegania zautomatyzowanym decyzjom**: nie podejmujemy wyłącznie zautomatyzowanych decyzji wywołujących skutki prawne lub podobnie istotne.

Aby skorzystać z któregokolwiek z tych praw, skontaktuj się z nami pod adresem [privacy@pappai.it](mailto:privacy@pappai.it). Odpowiemy w ciągu miesiąca. Nie pobieramy opłat za standardowe wnioski.

## 9. Prawo do złożenia skargi do organu nadzorczego

Jeśli przebywasz w **Wielkiej Brytanii**, masz prawo złożyć skargę do Information Commissioner's Office (ICO): [ico.org.uk](https://ico.org.uk).

Jeśli przebywasz w **Unii Europejskiej**, możesz złożyć skargę do organu nadzorczego w kraju swojego zamieszkania lub siedziby (np. Urząd Ochrony Danych Osobowych: UODO w Polsce, Garante Privacy we Włoszech, AEPD w Hiszpanii, CNIL we Francji).

Zachęcamy do pierwszego kontaktu z nami, abyśmy mogli bezpośrednio zająć się Twoją sprawą.

## 10. Dane dotyczące zdrowia i aktywności w aplikacji mobilnej (Apple Health / HealthKit)

Aplikacja mobilna PappAI jest udostępniana bezpośrednio Tobie, użytkownikowi końcowemu, a w odniesieniu do danych opisanych w tej sekcji **Electric Flock Ltd działa jako administrator danych**. Konto możesz założyć za pomocą adresu e-mail, Google lub **Sign in with Apple**. Za Twoją wyraźną zgodą aplikacja może łączyć się z **Apple Health (HealthKit)** na iOS (oraz z równoważnymi platformami w innych systemach) aby zaimportować Twoje dane dotyczące aktywności i pomiarów ciała w celu śledzenia postępów. To połączenie jest **całkowicie opcjonalne**: aplikacja jest w pełni funkcjonalna bez niego, a dostęp możesz w każdej chwili przyznać lub cofnąć w ustawieniach systemowych urządzenia.

Po włączeniu integracji aplikacja odczytuje z Apple Health następujące dane:

- **Masa ciała**
- **Liczba kroków** oraz **aktywnie spalona energia** (kalorie)
- **Tętno**
- **Wzrost**, **procent tkanki tłuszczowej** i **analiza snu**, tylko jeśli udzielisz opcjonalnego dodatkowego zezwolenia

Gdy rejestrujesz informacje w PappAI i tylko jeśli na to zezwolisz, aplikacja zapisuje następujące dane z powrotem w Apple Health, aby Twoje wpisy pozostały zsynchronizowane:

- **Masa ciała**, którą rejestrujesz w aplikacji
- **Spożycie wody** (nawodnienie), które rejestrujesz w aplikacji

Dane dotyczące zdrowia i aktywności, które zdecydujesz się udostępnić, są przesyłane na nasze serwery (Google Cloud Platform) wyłącznie w celu zapewnienia funkcji śledzenia postępów w aplikacji oraz (jeśli jesteś powiązany ze specjalistą ds. żywienia) udostępnienia ich temu specjaliście w ramach platformy. Przetwarzamy te dane na podstawie Twojej **wyraźnej zgody** (Art. 9(2)(a) UK/EU GDPR) oraz w celu wykonania umowy z Tobą (Art. 6(1)(b)). **Nigdy nie wykorzystujemy danych Apple Health (HealthKit) (ani żadnych innych danych dotyczących zdrowia i aktywności) do celów reklamowych ani marketingowych, nigdy ich nie sprzedajemy i nigdy nie udostępniamy ich osobom trzecim do ich własnych celów.** Dane HealthKit są wykorzystywane wyłącznie do udostępniania funkcji zdrowotnych i fitness w PappAI, zgodnie z wymaganiami HealthKit firmy Apple.

Jeśli korzystasz z opcjonalnej funkcji **rozpoznawania posiłków przez AI**, zdjęcie posiłku, które wykonasz, jest przetwarzane przez naszego podwykonawcę AI (Google Vertex AI) wyłącznie w celu oszacowania produktów i ich wartości odżywczych widocznych na obrazie. Zdjęcia posiłków nie są wykorzystywane do reklam ani do trenowania reklamowych modeli osób trzecich; to przetwarzanie reguluje Sekcja 5 (podmioty przetwarzające) oraz Sekcja 6 (transfery międzynarodowe).

Apple Health możesz odłączyć w dowolnym momencie w Ustawieniach iOS, a usunięcia zsynchronizowanych danych zdrowotnych możesz zażądać poprzez usunięcie konta w aplikacji lub kontaktując się pod adresem [privacy@pappai.it](mailto:privacy@pappai.it) (zob. Sekcja 7 dotycząca przechowywania).

## 11. Zmiany w niniejszej polityce

Możemy od czasu do czasu aktualizować niniejszą politykę. Gdy dokonujemy istotnych zmian, powiadamiamy zarejestrowanych użytkowników pocztą elektroniczną lub za pośrednictwem powiadomienia w aplikacji co najmniej 14 dni przed datą wejścia w życie zmian. Bieżąca wersja i data jej obowiązywania są wyświetlane u góry tej strony.