TL;DR — skrót

Dane w EU (Frankfurt, Supabase), RODO compliant, AI używa zdjęć posiłków (anonimizowane), Twoja pełna kontrola nad danymi.

Spis treści

1. §1. Administrator danych osobowych
2. §2. Jakie dane zbieramy (w tym HealthKit / Health Connect)
3. §3. Cel i podstawa prawna przetwarzania
4. §4. Odbiorcy danych (Supabase EU, OpenAI, Vercel)
5. §5. Przekazywanie danych do państw trzecich
6. §6. Okres przechowywania danych
7. §7. Prawa użytkownika (RODO)
8. §8. Pliki cookies i lokalne przechowywanie danych
9. §9. Bezpieczeństwo danych
10. §10. Analityka (Sentry / PostHog) — TODO
11. §11. Zmiany polityki prywatności
12. §12. Kontakt

Polityka prywatności

Ostatnia aktualizacja: 5 maja 2026

§1. Administrator danych osobowych

Administratorem Twoich danych osobowych jest właściciel serwisu VitalTrack (dalej „Administrator"). Dane kontaktowe Administratora: kontakt@vitaltrack.pl.

W sprawach dotyczących ochrony danych osobowych możesz skontaktować się z Administratorem pod adresem e-mail: kontakt@vitaltrack.pl.

§2. Jakie dane zbieramy

W trakcie korzystania z aplikacji VitalTrack możemy zbierać następujące kategorie danych:

• Dane identyfikacyjne: adres e-mail, imię lub pseudonim (opcjonalnie)
• Dane zdrowotne i fizyczne: waga, wzrost, wiek, płeć, cel fitness (np. redukcja, masa mięśniowa), poziom aktywności fizycznej, docelowa waga
• Historia żywieniowa: spożyte posiłki, kalorie, makroskładniki, nawodnienie
• Zdjęcia posiłków: przesyłane do analizy przez sztuczną inteligencję (OpenAI GPT-4o Vision)
• Dane o aktywności fizycznej: rodzaj treningu, czas trwania, szacowane kalorie
• Dane o śnie: godziny snu, jakość snu, pora kładzenia się i wstawania
• Dane z Apple HealthKit (iOS) i Health Connect (Android): za Twoją wyraźną zgodą synchronizujemy aktywność fizyczną, sen, kroki, dystans, energię aktywną oraz pomiary masy ciała i tkanki tłuszczowej z systemowych aplikacji zdrowotnych Twojego urządzenia. Dane HealthKit/Health Connect są pobierane wyłącznie do Twojego konta — nigdy nie są udostępniane podmiotom trzecim ani wykorzystywane do reklamy. Zgodę możesz cofnąć w ustawieniach systemowych iOS/Android lub poprzez wyłączenie synchronizacji w aplikacji.
• Dane techniczne: adres IP, typ przeglądarki, identyfikator sesji (zarządzane przez Supabase)
• Preferencje aplikacji: motyw kolorystyczny (dark/light), ustawienia powiadomień

Dane zdrowotne są kategorią szczególną w rozumieniu RODO (art. 9). Ich przetwarzanie odbywa się wyłącznie na podstawie Twojej wyraźnej zgody, w celu świadczenia usługi.

§3. Cel i podstawa prawna przetwarzania

Przetwarzamy Twoje dane w następujących celach:

1. Świadczenie usługi — prowadzenie dziennika żywieniowego, obliczanie kalorii i makroskładników, śledzenie postępów. Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy).
2. Personalizacja rekomendacji AI — generowanie spersonalizowanych porad żywieniowych przez AI Coach, planu posiłków, rekomendacji suplementów. Podstawa: art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 9 ust. 2 lit. a RODO (zgoda na dane zdrowotne).
3. Analiza zdjęć posiłków — przesyłanie zdjęć do OpenAI w celu automatycznego rozpoznania składników i obliczenia wartości odżywczych. Podstawa: art. 6 ust. 1 lit. a RODO (zgoda).
4. Bezpieczeństwo i uwierzytelnianie — zarządzanie sesjami użytkowników, ochrona kont. Podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).

§4. Odbiorcy danych

Twoje dane mogą być przekazywane następującym podmiotom zewnętrznym, które przetwarzają je w naszym imieniu jako podmioty przetwarzające:

• Supabase Inc. — dostawca bazy danych i usług autoryzacyjnych. Serwery w Unii Europejskiej (Frankfurt, EU). Polityka prywatności: supabase.com/privacy
• Vercel Inc. — dostawca hostingu aplikacji. Infrastruktura w UE i USA (z odpowiednimi zabezpieczeniami transfer data). Polityka prywatności: vercel.com/legal/privacy-policy
• OpenAI, L.L.C. — przetwarzanie zdjęć posiłków i generowanie odpowiedzi AI Coach. Dane są przesyłane do USA. OpenAI działa zgodnie z Data Processing Agreement. Polityka: openai.com/privacy
• Google LLC — usługa logowania przez Google OAuth (opcjonalnie). Dane są przetwarzane zgodnie z polityką prywatności Google: policies.google.com/privacy

Nie sprzedajemy Twoich danych osobowych podmiotom trzecim. Dane są udostępniane wyłącznie w zakresie niezbędnym do świadczenia usługi.

Usługi AI — OpenAI

Aby zapewnić funkcje rozpoznawania posiłków ze zdjęcia oraz rekomendacje AI Coach, VitalTrack korzysta z usług OpenAI Inc. (San Francisco, USA).

Dane wysyłane do OpenAI:

• Zdjęcia posiłków, etykiet produktów i paragonów (tylko gdy używasz funkcji rozpoznawania)
• Dane diety, treningów i celów (tylko gdy korzystasz z AI Coach)

Podstawa prawna: zgoda użytkownika (art. 6 ust. 1 lit. a RODO + art. 49 ust. 1 lit. a RODO dla transferu do USA).

OpenAI działa na podstawie Enterprise API policy — Twoje dane NIE są wykorzystywane do trenowania modeli. Więcej: https://openai.com/policies/api-data-usage-policies.

Możesz cofnąć zgodę w dowolnym momencie w ustawieniach aplikacji. Cofnięcie zgody powoduje wyłączenie funkcji AI.

Dane z Apple HealthKit i Google Health Connect są przetwarzane lokalnie na urządzeniu użytkownika oraz w naszej bazie danych (Supabase, EU). Dane z platform zdrowotnych nigdy nie są udostępniane OpenAI, Google, Meta ani żadnym innym podmiotom trzecim — nie są też wykorzystywane do celów reklamowych ani profilowania marketingowego. Zgodnie z wymogami Apple HealthKit Framework i Google Health Connect, dane te nie mogą być używane do jakichkolwiek celów innych niż pierwotnie zadeklarowane (świadczenie usługi śledzenia zdrowia i fitness).

§5. Przekazywanie danych do państw trzecich

Niektórzy nasi podwykonawcy (OpenAI, Vercel) mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym (EOG). W takich przypadkach transfer odbywa się na podstawie:

• Standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską,
• Decyzji o odpowiednim stopniu ochrony wydanej przez Komisję Europejską,
• Lub innych mechanizmów zgodnych z RODO.

§6. Okres przechowywania danych

Przechowujemy Twoje dane osobowe przez cały okres korzystania z aplikacji, aż do momentu usunięcia konta. Po usunięciu konta Twoje dane są trwale usuwane z naszych systemów w ciągu 30 dni, z wyjątkiem danych, które musimy przechować z uwagi na obowiązujące przepisy prawa (np. przez okres wymagany przepisami podatkowymi lub rachunkowymi).

Zdjęcia posiłków przesyłane do OpenAI są przetwarzane w czasie rzeczywistym i nie są przez nas przechowywane dłużej niż to konieczne do udzielenia odpowiedzi.

§7. Prawa użytkownika

Przysługują Ci następujące prawa w związku z przetwarzaniem Twoich danych osobowych:

• Prawo dostępu — możesz zażądać kopii danych, które przetwarzamy na Twój temat,
• Prawo do sprostowania — możesz poprawić nieprawidłowe lub niekompletne dane,
• Prawo do usunięcia („prawo do bycia zapomnianym") — możesz żądać usunięcia danych w określonych okolicznościach,
• Prawo do ograniczenia przetwarzania — możesz żądać ograniczenia przetwarzania Twoich danych,
• Prawo do przenoszenia danych — możesz otrzymać swoje dane w ustrukturyzowanym, powszechnie używanym formacie,
• Prawo do sprzeciwu — możesz sprzeciwić się przetwarzaniu danych na podstawie prawnie uzasadnionego interesu,
• Prawo do cofnięcia zgody — możesz w każdej chwili cofnąć zgodę na przetwarzanie danych (bez wpływu na zgodność z prawem przetwarzania przed cofnięciem).

Aby skorzystać z powyższych praw, skontaktuj się z nami pod adresem e-mail podanym w §1. Masz również prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (UODO, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

§8. Pliki cookies i lokalne przechowywanie danych

Aplikacja VitalTrack korzysta z następujących mechanizmów przechowywania danych po stronie klienta.

Cookies niezbędne (zawsze aktywne):

• sb-access-token — Token uwierzytelniający sesji użytkownika (Supabase Auth) — Sesja
• sb-refresh-token — Token odświeżania sesji (Supabase Auth) — 1 rok
• cookie-consent — Zapamiętanie wyboru dotyczącego cookies — 1 rok

Cookies funkcjonalne (za zgodą):

• theme — Zapamiętanie wybranego motywu kolorystycznego (dark/light)
• mc_install_shown — Stan banera instalacji PWA (ile razy wyświetlono)

Możesz zarządzać swoimi preferencjami cookies w dowolnym momencie, klikając „Ustawienia cookies" w stopce strony. Nie używamy cookies śledzących ani reklamowych stron trzecich.

Service Worker może przechowywać zasoby statyczne lokalnie w celu działania offline oraz poprawy szybkości ładowania strony.

§9. Bezpieczeństwo danych

Stosujemy odpowiednie środki techniczne i organizacyjne w celu ochrony Twoich danych przed nieuprawnionym dostępem, utratą lub zniszczeniem, w tym:

• Szyfrowanie danych w transmisji (HTTPS/TLS),
• Szyfrowanie danych w spoczynku po stronie bazy danych (Supabase),
• Polityki kontroli dostępu na poziomie wierszy (Row Level Security) w bazie danych,
• Uwierzytelnianie dwuetapowe dostępne poprzez Google OAuth.

§10. Zmiany polityki prywatności

Zastrzegamy sobie prawo do zmiany niniejszej polityki prywatności. O każdej istotnej zmianie poinformujemy Cię co najmniej 14 dni wcześniej poprzez powiadomienie w aplikacji lub wiadomość e-mail. Aktualna wersja polityki jest zawsze dostępna pod adresem vitaltrack.pl/privacy.

§11. Kontakt

W przypadku pytań dotyczących niniejszej polityki prywatności lub przetwarzania Twoich danych osobowych prosimy o kontakt:

E-mail: kontakt@vitaltrack.pl

Adres korespondencyjny: ul. Bogusławskiego 11B, 05-092 Łomianki, Polska

§10. Analityka i monitoring błędów (Sentry / PostHog)

TODO: uzupełnić treść prawną — Sentry / PostHog: analityka EU, masked inputs, zakres zbieranych danych, opt-out.