TL;DR — skrót

Dane w EU (Frankfurt, Supabase), RODO compliant, AI używa zdjęć posiłków (anonimizowane), Twoja pełna kontrola nad danymi.

Spis treści

1. §1. Administrator danych osobowych
2. §2. Jakie dane zbieramy (w tym HealthKit / Health Connect)
3. §3. Cel i podstawa prawna przetwarzania
4. §4. Odbiorcy danych (Supabase EU, OpenAI, Vercel)
5. §5. Przekazywanie danych do państw trzecich
6. §6. Okres przechowywania danych
7. §7. Prawa użytkownika (RODO)
8. §8. Pliki cookies i lokalne przechowywanie danych
9. §9. Bezpieczeństwo danych
10. §10. Analityka (Sentry / PostHog) — TODO
11. §11. Zmiany polityki prywatności
12. §12. Kontakt

Polityka prywatności

Ostatnia aktualizacja: 10 września 2026

§1. Administrator danych osobowych

Administratorem Twoich danych osobowych jest Sparrowlabs spółka z ograniczoną odpowiedzialnością z siedzibą w Warszawie, ul. Tadeusza Korzona 115/15, 03-571 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIV Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0001258379, NIP 5243079518, REGON 545417991, kapitał zakładowy 5 000,00 zł (dalej „Administrator" lub „Spółka"). Dane kontaktowe Administratora: kontakt@vitaltrack.pl.

W sprawach dotyczących ochrony danych osobowych możesz skontaktować się z Administratorem pod adresem e-mail: kontakt@vitaltrack.pl.

§2. Jakie dane zbieramy

W trakcie korzystania z aplikacji VitalTrack możemy zbierać następujące kategorie danych:

• Dane identyfikacyjne: adres e-mail, imię lub pseudonim (opcjonalnie)
• Dane zdrowotne i fizyczne: waga, wzrost, wiek, płeć, cel fitness (np. redukcja, masa mięśniowa), poziom aktywności fizycznej, docelowa waga
• Historia żywieniowa: spożyte posiłki, kalorie, makroskładniki, nawodnienie
• Zdjęcia posiłków: przesyłane do analizy przez sztuczną inteligencję (OpenAI GPT-4o Vision)
• Dane o aktywności fizycznej: rodzaj treningu, czas trwania, szacowane kalorie
• Dane o śnie: godziny snu, jakość snu, pora kładzenia się i wstawania
• Dane z Apple HealthKit (iOS) i Health Connect (Android): za Twoją wyraźną zgodą synchronizujemy aktywność fizyczną, sen, kroki, dystans, energię aktywną oraz pomiary masy ciała i tkanki tłuszczowej z systemowych aplikacji zdrowotnych Twojego urządzenia. Dane HealthKit/Health Connect są pobierane wyłącznie do Twojego konta — nigdy nie są udostępniane podmiotom trzecim ani wykorzystywane do reklamy. Zgodę możesz cofnąć w ustawieniach systemowych iOS/Android lub poprzez wyłączenie synchronizacji w aplikacji.
• Dane techniczne: adres IP, typ przeglądarki, identyfikator sesji (zarządzane przez Supabase)
• Preferencje aplikacji: motyw kolorystyczny (dark/light), ustawienia powiadomień

Dane zdrowotne są kategorią szczególną w rozumieniu RODO (art. 9). Ich przetwarzanie odbywa się wyłącznie na podstawie Twojej wyraźnej zgody, w celu świadczenia usługi.

§3. Cel i podstawa prawna przetwarzania

Przetwarzamy Twoje dane w następujących celach:

1. Świadczenie usługi — prowadzenie dziennika żywieniowego, obliczanie kalorii i makroskładników, śledzenie postępów. Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy).
2. Personalizacja rekomendacji AI — generowanie spersonalizowanych porad żywieniowych przez AI Coach, planu posiłków, rekomendacji suplementów. Podstawa: art. 6 ust. 1 lit. a RODO (zgoda) oraz art. 9 ust. 2 lit. a RODO (zgoda na dane zdrowotne).
3. Analiza zdjęć posiłków — przesyłanie zdjęć do OpenAI w celu automatycznego rozpoznania składników i obliczenia wartości odżywczych. Podstawa: art. 6 ust. 1 lit. a RODO (zgoda).
4. Realizacja płatności i Subskrypcji — obsługa zakupu i odnawiania Subskrypcji, wystawianie faktur. Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. c RODO (obowiązek prawny — przepisy podatkowe i rachunkowe).
5. Bezpieczeństwo i uwierzytelnianie — zarządzanie sesjami użytkowników, ochrona kont. Podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).

§4. Szczególne kategorie danych osobowych (dane dotyczące zdrowia)

Dane dotyczące zdrowia (m.in. waga, wzrost, cel fitness, dane z Apple HealthKit/Health Connect, historia posiłków i treningów) stanowią szczególną kategorię danych osobowych w rozumieniu art. 9 RODO. Przetwarzamy je wyłącznie na podstawie Twojej wyraźnej, dobrowolnej zgody wyrażonej podczas zakładania konta (onboarding) — art. 9 ust. 2 lit. a RODO.

Zgodę na przetwarzanie danych zdrowotnych możesz cofnąć w dowolnym momencie w ustawieniach aplikacji lub kontaktując się z Administratorem. Cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem, skutkuje jednak brakiem możliwości dalszego korzystania z funkcji zdrowotnych Usługi (m.in. dziennika żywieniowego, analizy AI, synchronizacji z HealthKit/Health Connect) — funkcje te nie mogą działać bez danych zdrowotnych.

§5. Odbiorcy danych

Twoje dane mogą być przekazywane następującym podmiotom zewnętrznym, które przetwarzają je w naszym imieniu jako podmioty przetwarzające:

• Supabase Inc. — dostawca bazy danych i usług autoryzacyjnych. Serwery w Unii Europejskiej (Frankfurt, EU). Polityka prywatności: supabase.com/privacy
• Vercel Inc. — dostawca hostingu aplikacji. Infrastruktura w UE i USA (z odpowiednimi zabezpieczeniami transfer data). Polityka prywatności: vercel.com/legal/privacy-policy
• OpenAI, L.L.C. — przetwarzanie zdjęć posiłków i generowanie odpowiedzi AI Coach. Dane są przesyłane do USA. OpenAI działa zgodnie z Data Processing Agreement. Polityka: openai.com/privacy
• Google LLC — usługa logowania przez Google OAuth (opcjonalnie). Dane są przetwarzane zgodnie z polityką prywatności Google: policies.google.com/privacy
• Stripe Payments Europe, Ltd. — obsługa płatności za Subskrypcję dokonywanych w Serwisie internetowym. Polityka prywatności: stripe.com/privacy
• Apple Inc. (App Store) oraz Google LLC (Google Play) — obsługa płatności za Subskrypcję dokonywanych w aplikacji mobilnej, zgodnie z zasadami rozliczeń tych platform.
• RevenueCat, Inc. — zarządzanie i synchronizacja statusu Subskrypcji mobilnych (App Store/Google Play) z Twoim kontem w Usłudze. Polityka prywatności: revenuecat.com/privacy

Nie sprzedajemy Twoich danych osobowych podmiotom trzecim. Dane są udostępniane wyłącznie w zakresie niezbędnym do świadczenia usługi.

Podmioty przetwarzające dane poza Europejskim Obszarem Gospodarczym (np. OpenAI, Stripe, Apple, RevenueCat) przetwarzają je na podstawie decyzji o odpowiednim stopniu ochrony (EU-U.S. Data Privacy Framework) — jeżeli dany podmiot do niej przystąpił — lub na podstawie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską.

Usługi AI — OpenAI

Aby zapewnić funkcje rozpoznawania posiłków ze zdjęcia oraz rekomendacje AI Coach, VitalTrack korzysta z usług OpenAI Inc. (San Francisco, USA).

Dane wysyłane do OpenAI:

• Zdjęcia posiłków, etykiet produktów i paragonów (tylko gdy używasz funkcji rozpoznawania)
• Dane diety, treningów i celów (tylko gdy korzystasz z AI Coach)

Podstawa prawna: zgoda użytkownika (art. 6 ust. 1 lit. a RODO + art. 49 ust. 1 lit. a RODO dla transferu do USA).

OpenAI działa na podstawie Enterprise API policy — Twoje dane NIE są wykorzystywane do trenowania modeli. Więcej: https://openai.com/policies/api-data-usage-policies.

Możesz cofnąć zgodę w dowolnym momencie w ustawieniach aplikacji. Cofnięcie zgody powoduje wyłączenie funkcji AI.

Dane z Apple HealthKit i Google Health Connect są przetwarzane lokalnie na urządzeniu użytkownika oraz w naszej bazie danych (Supabase, EU). Dane z platform zdrowotnych nigdy nie są udostępniane OpenAI, Google, Meta ani żadnym innym podmiotom trzecim — nie są też wykorzystywane do celów reklamowych ani profilowania marketingowego. Zgodnie z wymogami Apple HealthKit Framework i Google Health Connect, dane te nie mogą być używane do jakichkolwiek celów innych niż pierwotnie zadeklarowane (świadczenie usługi śledzenia zdrowia i fitness).

§6. Przekazywanie danych do państw trzecich

Niektórzy nasi podwykonawcy (m.in. OpenAI, Vercel, Stripe, Apple, RevenueCat) mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym (EOG). W takich przypadkach transfer odbywa się na podstawie:

• Decyzji o odpowiednim stopniu ochrony wydanej przez Komisję Europejską (w tym EU-U.S. Data Privacy Framework),
• Standardowych klauzul umownych (SCC) zatwierdzonych przez Komisję Europejską,
• Lub innych mechanizmów zgodnych z RODO.

§7. Relacja trener/dietetyk – klient

Jeśli korzystasz z funkcji łączenia Konta z trenerem lub dietetykiem dostępnym w Usłudze, Twoje dane (dziennik żywieniowy, statystyki, cele, postępy) są udostępniane temu specjaliście wyłącznie po zaakceptowaniu przez Ciebie zaproszenia do współpracy. Dostęp specjalisty do Twoich danych możesz cofnąć w dowolnym momencie w ustawieniach Konta — cofnięcie dostępu jest natychmiastowe.

Trener lub dietetyk korzystający z Usługi jest zobowiązany do zachowania poufności udostępnionych mu danych i wykorzystywania ich wyłącznie w celu świadczenia usług na Twoją rzecz. Administrator nie ponosi odpowiedzialności za sposób przetwarzania danych przez specjalistę poza Usługą.

§8. Okres przechowywania danych

Okresy przechowywania danych są zróżnicowane w zależności od ich rodzaju:

• Dane Konta (profil, dziennik żywieniowy, historia aktywności) — przechowywane przez cały okres posiadania Konta, do momentu jego usunięcia przez Użytkownika lub Administratora.
• Dane rozliczeniowe (faktury, dowody zakupu Subskrypcji) — przechowywane przez 5 lat od końca roku podatkowego, w którym wystawiono dokument, zgodnie z obowiązkiem wynikającym z przepisów podatkowych i rachunkowych.
• Logi techniczne i dane o sesjach — przechowywane przez 12 miesięcy od ich zarejestrowania.

Po usunięciu Konta pozostałe dane są trwale usuwane z naszych systemów w ciągu 30 dni, z zastrzeżeniem okresów wskazanych powyżej.

Zdjęcia posiłków przesyłane do OpenAI są przetwarzane w czasie rzeczywistym i nie są przez nas przechowywane dłużej niż to konieczne do udzielenia odpowiedzi.

§9. Prawa użytkownika

Przysługują Ci następujące prawa w związku z przetwarzaniem Twoich danych osobowych:

• Prawo dostępu — możesz zażądać kopii danych, które przetwarzamy na Twój temat,
• Prawo do sprostowania — możesz poprawić nieprawidłowe lub niekompletne dane,
• Prawo do usunięcia („prawo do bycia zapomnianym") — możesz żądać usunięcia danych w określonych okolicznościach,
• Prawo do ograniczenia przetwarzania — możesz żądać ograniczenia przetwarzania Twoich danych,
• Prawo do przenoszenia danych — możesz otrzymać swoje dane w ustrukturyzowanym, powszechnie używanym formacie,
• Prawo do sprzeciwu — możesz sprzeciwić się przetwarzaniu danych na podstawie prawnie uzasadnionego interesu,
• Prawo do cofnięcia zgody — możesz w każdej chwili cofnąć zgodę na przetwarzanie danych (bez wpływu na zgodność z prawem przetwarzania przed cofnięciem).

Aby skorzystać z powyższych praw, skontaktuj się z nami pod adresem e-mail podanym w §1. Masz również prawo wniesienia skargi do organu nadzorczego — Prezesa Urzędu Ochrony Danych Osobowych (UODO, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

§10. Pliki cookies i lokalne przechowywanie danych

Aplikacja VitalTrack korzysta z następujących mechanizmów przechowywania danych po stronie klienta.

Cookies niezbędne (zawsze aktywne):

• sb-access-token — Token uwierzytelniający sesji użytkownika (Supabase Auth) — Sesja
• sb-refresh-token — Token odświeżania sesji (Supabase Auth) — 1 rok
• cookie-consent — Zapamiętanie wyboru dotyczącego cookies — 1 rok

Cookies funkcjonalne (za zgodą):

• theme — Zapamiętanie wybranego motywu kolorystycznego (dark/light)
• mc_install_shown — Stan banera instalacji PWA (ile razy wyświetlono)

Możesz zarządzać swoimi preferencjami cookies w dowolnym momencie, klikając „Ustawienia cookies" w stopce strony. Nie używamy cookies śledzących ani reklamowych stron trzecich.

Service Worker może przechowywać zasoby statyczne lokalnie w celu działania offline oraz poprawy szybkości ładowania strony.

§11. Bezpieczeństwo danych

Stosujemy odpowiednie środki techniczne i organizacyjne w celu ochrony Twoich danych przed nieuprawnionym dostępem, utratą lub zniszczeniem, w tym:

• Szyfrowanie danych w transmisji (HTTPS/TLS),
• Szyfrowanie danych w spoczynku po stronie bazy danych (Supabase),
• Polityki kontroli dostępu na poziomie wierszy (Row Level Security) w bazie danych,
• Uwierzytelnianie dwuetapowe dostępne poprzez Google OAuth.

§12. Zmiany polityki prywatności

Zastrzegamy sobie prawo do zmiany niniejszej polityki prywatności. O każdej istotnej zmianie poinformujemy Cię co najmniej 14 dni wcześniej poprzez powiadomienie w aplikacji lub wiadomość e-mail. Aktualna wersja polityki jest zawsze dostępna pod adresem vitaltrack.pl/privacy.

§13. Kontakt

W przypadku pytań dotyczących niniejszej polityki prywatności lub przetwarzania Twoich danych osobowych prosimy o kontakt:

E-mail: kontakt@vitaltrack.pl

Administrator: Sparrowlabs sp. z o.o., ul. Tadeusza Korzona 115/15, 03-571 Warszawa, KRS 0001258379, NIP 5243079518.

§10. Analityka i monitoring błędów (Sentry / PostHog)

TODO: uzupełnić treść prawną — Sentry / PostHog: analityka EU, masked inputs, zakres zbieranych danych, opt-out.