Polityka prywatności Apperah

1. O niniejszej Polityce prywatności

Niniejsza Polityka prywatności wyjaśnia, w jaki sposób Apperah przetwarza Państwa dane osobowe. Ma ona zastosowanie do aplikacji mobilnej Apperah, strony internetowej apperah.com oraz powiązanych usług.

Niniejsza Polityka jest odrębna od naszego Regulaminu. Akceptacja Regulaminu nie jest warunkiem korzystania z praw opisanych w niniejszym dokumencie.

Data wejścia w życie i zmiany: niniejsza Polityka wchodzi w życie w dniu wskazanym powyżej. O istotnych zmianach informujemy w aplikacji i pocztą elektroniczną z wyprzedzeniem, zanim zmiana wejdzie w życie, oraz prowadzimy archiwum poprzednich wersji.

2. Kim jesteśmy i jak się z nami skontaktować

Skargi i organy nadzorcze: mają Państwo prawo wniesienia skargi do organu ochrony danych. W UE/EOG naszym wiodącym organem nadzorczym jest Datatilsynet (Norwegia) w ramach mechanizmu kompleksowej współpracy (one-stop-shop) na gruncie RODO; mogą Państwo również złożyć skargę do organu w swoim kraju. W innych jurysdykcjach mogą Państwo złożyć skargę do lokalnego organu.

Tam, gdzie prawo lokalne wymaga od nas wyznaczenia inspektora ochrony danych lub lokalnego przedstawiciela przed rozpoczęciem działalności w danym kraju, czynimy to i publikujemy ich dane kontaktowe w suplemencie dla danego kraju.

3. Jakie dane przetwarzamy, w jakim celu i na jakiej podstawie prawnej

Przetwarzamy trzy ogólne kategorie informacji:

• Informacje, które nam Państwo przekazują — gdy tworzą Państwo konto i profil, tworzą aktywności lub do nich dołączają, wymieniają wiadomości, udostępniają zdjęcia i posty, decydują się udostępnić swoją lokalizację lub łączą kalendarz.
• Informacje wynikające z korzystania przez Państwa z Apperah — sposób korzystania z aplikacji oraz dane o urządzeniu i dane z dzienników (dla celów bezpieczeństwa i raportów o awariach), w tym przybliżona lokalizacja, np. do pokazywania miejsc w pobliżu.
• Informacje z innych źródeł — informacje publiczne, których używamy do budowy naszego katalogu miejsc i wydarzeń (zob. §4), oraz dostawca logowania, którego Państwo wybiorą, jeśli korzystają Państwo z logowania społecznościowego.

Oto do czego wykorzystujemy każdą ogólną kategorię i jaka jest nasza podstawa prawna:

Apperah nie zbiera danych o lokalizacji w tle. Lokalizacja jest przetwarzana wyłącznie wtedy, gdy aktywnie ją Państwo udostępniają lub korzystają z funkcji wymagającej przybliżonej lokalizacji.

4. Skąd pozyskujemy Państwa dane

Dane pozyskujemy:

• Od Państwa — gdy się Państwo rejestrują, tworzą plany, udostępniają treści lub łączą kalendarz
• Z Państwa książki adresowej, wyłącznie po wybraniu opcji „znajdź znajomych w kontaktach“ — numery telefonów i adresy e-mail z urządzenia są jednorazowo przesyłane do nas, aby sprawdzić, które należą do użytkowników Apperah; pokazujemy dopasowania i nie przechowujemy listy
• Z Państwa urządzenia — adres IP, identyfikator urządzenia (do raportów o awariach), token powiadomień push (powiązany z zalogowaną sesją i usuwany po wylogowaniu), wersja aplikacji
• Z funkcji urządzenia, na które wyrażają Państwo zgodę — każda jest opcjonalna, o pozwolenie prosimy przy pierwszym użyciu funkcji i można je cofnąć w ustawieniach urządzenia: aparat (wykonywane zdjęcia i filmy oraz skanowanie kodu QR znajomego), mikrofon (wiadomości głosowe na czacie), biblioteka zdjęć (zdjęcia i filmy wybrane do udostępnienia — nie korzystamy z lokalizacji zapisanej w zdjęciach), lokalizacja (tylko gdy zdecydują się Państwo ją udostępnić, zob. §15), kontakty (powyżej), kalendarz (jeśli zostanie połączony) oraz Face ID lub odcisk palca (po włączeniu logowania biometrycznego — weryfikacja odbywa się na urządzeniu i nigdy nie otrzymujemy danych biometrycznych)
• Z innych źródeł (w ograniczonym zakresie):
  • Od dostawcy kalendarza (Google Calendar), jeśli go Państwo połączą
  • Ze źródeł publicznych, na potrzeby naszego katalogu miejsc i wydarzeń (zob. §4.1)
  • Od dostawcy logowania — Meta (Facebook), Google lub Apple — jeśli korzystają Państwo z logowania społecznościowego

Nie kupujemy danych od brokerów danych.

Gdy wyszukiwanie w aplikacji nie zwraca wyników, rejestrujemy treść wyszukiwania oraz miejscowość lub obszar, w którym zostało wykonane — bez jakiegokolwiek powiązania z Państwem lub Państwa kontem — abyśmy wiedzieli, gdzie nasz katalog wymaga poprawy. Te dzienniki są automatycznie usuwane po 60 dniach.

4.1 Informacje pozyskiwane z innych źródeł (art. 14)

Część posiadanych przez nas informacji nie została przekazana bezpośrednio przez Państwa — na przykład publiczne informacje o lokalu lub publicznie dostępne dane kontaktowe firmy, zebrane w celu budowy naszego katalogu miejsc i wydarzeń. Zgodnie z art. 14 RODO podajemy następujące informacje:

• Kategorie danych: dane firm/lokali oraz — tam, gdzie osoby fizyczne są możliwe do zidentyfikowania (na przykład publicznie dostępne imię i nazwisko lub dane kontaktowe osoby prowadzącej jednoosobową działalność) — ograniczone dane osobowe.
• Źródła: otwarte dane — OpenStreetMap (ODbL), Overture Maps (CDLA) i Wikidata (CC0) — oraz publicznie dostępne strony internetowe lokali. Zob. naszą stronę Źródła danych i przypisanie.
• Cel i podstawa prawna: budowa i utrzymanie dokładnego katalogu oraz doskonalenie wyszukiwania — nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f), wyważony względem Państwa praw.
• Państwa prawa: mogą Państwo uzyskać dostęp do tych danych, je poprawić lub wnieść sprzeciw wobec tego przetwarzania — a jeśli dotyczy to Państwa firmy, mogą Państwo przejąć miejsce, aby nim zarządzać.

5. Komu udostępniamy Państwa dane

Udostępniamy dane dostawcom usług, którzy pomagają nam prowadzić Apperah, opisanym tutaj według kategorii usługi. Wymagamy, aby każdy z nich działał na podstawie umowy powierzenia przetwarzania danych i wykorzystywał Państwa dane wyłącznie zgodnie z naszymi poleceniami.

Naszą stronę Dostawcy usług aktualizujemy na bieżąco wraz ze zmianami dostawców.

Lokale, w których składają Państwo zamówienia. Jeżeli przejęty (claimed) lokal oferuje zamawianie w aplikacji, złożenie zamówienia powoduje udostępnienie temu lokalowi szczegółów zamówienia (pozycje, kwoty, żądany czas odbioru) oraz tożsamości Państwa konta, aby mógł zrealizować zamówienie.

Nie sprzedajemy Państwa danych osobowych. Nie udostępniamy ich na potrzeby międzykontekstowej reklamy behawioralnej (szczegóły dotyczące stanów USA: Państwa wybory dotyczące prywatności).

Możemy również ujawnić dane:

• Organom ścigania w ramach zgodnego z prawem postępowania (kwestionujemy zbyt szerokie żądania; zob. nasza Polityka dotycząca żądań organów ścigania)
• W celu egzekwowania naszego Regulaminu lub ochrony użytkowników (na przykład w celu wykrywania i zgłaszania materiałów przedstawiających seksualne wykorzystywanie dzieci do NCMEC i Kripos)
• W ramach transakcji korporacyjnej (fuzja, przejęcie, restrukturyzacja) — z zachowaniem ciągłości ochrony

Obrazy w podglądach miejsc mogą być ładowane od niezależnych zewnętrznych dostawców hostingu. Otrzymują oni Państwa adres IP i informacje o żądaniu, np. typ przeglądarki lub urządzenia. Obowiązują ich własne polityki prywatności, okresy przechowywania i miejsca przetwarzania; mogą przetwarzać dane poza EOG.

6. Dokąd trafiają Państwa dane (przekazywanie transgraniczne)

Siedziba Apperah znajduje się w Norwegii (EOG). Gdy Państwa dane opuszczają EOG — głównie do naszych podmiotów przetwarzających z siedzibą w USA — stosujemy:

• Ramy ochrony danych UE–USA (EU-US Data Privacy Framework, DPF), gdy podmiot przetwarzający posiada certyfikację DPF
• Standardowe klauzule umowne UE (moduł 2) jako rozwiązanie zapasowe
• UK Addendum dla danych pochodzących z Wielkiej Brytanii
• Szwajcarskie SCC dla danych pochodzących ze Szwajcarii
• SCC ANPD dla danych pochodzących z Brazylii

Gdy dane opuszczają EOG, stosujemy również odpowiednie dodatkowe zabezpieczenia w celu ich ochrony.

7. Jak długo przechowujemy Państwa dane

Przechowujemy dane osobowe tylko tak długo, jak są nam potrzebne do celów opisanych w niniejszej Polityce, a następnie je usuwamy lub anonimizujemy. Okres ten zależy od rodzaju danych i powodu ich przechowywania:

• Konto, profil, plany i aktywność społecznościowa — przez czas aktywności Państwa konta; usuwane lub anonimizowane po jego zamknięciu (z krótkim okresem karencji na wypadek zmiany zdania).
• Wiadomości — historia Państwa rozmów jest przechowywana przez czas aktywności konta; wiadomości, które Państwo usuną, są kasowane w ciągu 30 dni. Gdy usuwają Państwo konto, wysłane przez Państwa wiadomości są usuwane.
• Lokalizacja — przechowywana wyłącznie podczas aktywnego udostępniania.
• Powiadomienia — historia powiadomień w aplikacji jest przechowywana przez czas aktywności konta i usuwana wraz z nim.
• Tokeny push — przechowywane, dopóki są Państwo zalogowani na danym urządzeniu.
• Dzienniki bezpieczeństwa i przeciwdziałania oszustwom — przechowywane przez ograniczony okres dla celów bezpieczeństwa i zapobiegania nadużyciom.

Gdy usuwają Państwo konto, usuwamy lub anonimizujemy Państwa dane osobowe w ciągu 30 dni, z wyjątkiem zapisów, których przechowywania wymaga od nas prawo — te zachowujemy (w miarę możliwości w formie zanonimizowanej) wyłącznie przez ustawowe minimum.

8. Państwa prawa

Na gruncie RODO i równoważnych przepisów przysługują Państwu następujące prawa:

Na wnioski dotyczące praw odpowiadamy w ciągu 1 miesiąca (art. 12 ust. 3 RODO) — z możliwością przedłużenia o 2 miesiące w przypadku złożonych wniosków, za powiadomieniem.

Przed rozpatrzeniem wniosku weryfikujemy Państwa tożsamość. W przypadku wniosków powiązanych z kontem wystarczające jest uwierzytelnienie w aplikacji.

9. Jak pracujemy nad ochroną Państwa danych

Nasze środki bezpieczeństwa obejmują:

• Szyfrowanie w tranzycie (TLS) Państwa danych oraz szyfrowanie w spoczynku przechowywanych multimediów i kopii zapasowych — a dodatkowo Państwa wiadomości, każdego połączenia kalendarza oraz sekretów uwierzytelniania dwuskładnikowego, każde z dedykowanymi kluczami
• Kontrola dostępu: oparta na rolach i zasadzie najmniejszych uprawnień, z regularnymi przeglądami dostępu
• Rejestrowanie i monitorowanie bezpieczeństwa uwierzytelniania oraz dostępu do danych wrażliwych
• Niezależne oceny bezpieczeństwa naszych dostawców (np. SOC 2 / ISO 27001)
• Program ujawniania podatności — zob. nasza Polityka ujawniania podatności

Żadna metoda transmisji przez internet ani elektronicznego przechowywania nie jest całkowicie bezpieczna. Chociaż stosujemy rozsądne środki techniczne i organizacyjne w celu ochrony Państwa danych, nie możemy zagwarantować absolutnego bezpieczeństwa.

Powiadamiamy regulatorów w ciągu 72 godzin o każdym naruszeniu ochrony danych osobowych stwarzającym ryzyko dla Państwa praw (zgodnie z art. 33 RODO). Powiadamiamy Państwa bezpośrednio, jeśli istnieje wysokie ryzyko dla Państwa praw (art. 34).

10. Zautomatyzowane podejmowanie decyzji

Nie podejmujemy wobec Państwa decyzji wywołujących skutki prawne lub podobnie istotne skutki wyłącznie na podstawie zautomatyzowanego przetwarzania (art. 22 RODO).

Personalizujemy Państwa stronę główną na podstawie sygnałów takich jak wybrane przez Państwa zainteresowania, Państwa znajomi i obserwowane firmy oraz rodzaje miejsc, z którymi ostatnio Państwo wchodzili w interakcję (kroczące okno ok. 90 dni). To porządkowanie wpływa wyłącznie na kolejność wyświetlanych treści — nie wpływa na dostęp do konta, ceny ani jakość usługi — i mogą je Państwo w każdej chwili wyłączyć (Ustawienia > Dane > Dane i personalizacja > Rekomendacje AI), co przełącza Państwa strumień treści na kolejność opartą na lokalizacji i świeżości. Poza tym nie budujemy Państwa profili behawioralnych i nie wykorzystujemy Państwa zachowań do celów reklamowych. Nasza opcjonalna analityka użytkowania (zob. §12) jest wykorzystywana wyłącznie w formie zagregowanej, aby zrozumieć, jak używane są funkcje, i mogą Państwo w każdej chwili wycofać na nią zgodę.

Nasze funkcje AI (takie jak wyodrębnianie wydarzeń i opisy lokali) tworzą wyniki, które można przeglądać i poprawiać. AI nie jest ostatecznym decydentem w żadnej sprawie, która Państwa dotyczy.

11. Funkcje AI i przejrzystość (akt UE w sprawie AI, art. 50)

Wykorzystujemy AI do świadczenia określonych funkcji:

• Oznaczanie treści generowanych przez AI — treści generowane przez AI, takie jak opisy wydarzeń i lokali, są w aplikacji wyraźnie oznaczone etykietą “Wygenerowane przez AI” (akt UE w sprawie AI, art. 50).
• Funkcje AI, z których korzystają Państwo z własnego wyboru — niektóre funkcje wysyłają dane do dostawcy AI tylko wtedy, gdy Państwo z nich korzystają: generowanie planu podróży lub listy rzeczy do spakowania w grupie, skanowanie zdjęcia harmonogramu w celu dodania jego pozycji do kalendarza, tłumaczenie treści napisanych przez użytkowników po dotknięciu opcji tłumaczenia oraz rozmowa z opiniami w Wiadomościach, w której asystent AI może odpowiedzieć, zanim odezwie się nasz zespół.
• Korzystamy z zewnętrznych dostawców AI na podstawie umów (opisanych według kategorii w §5 powyżej)
• Wymagamy od dostawców AI, na mocy umowy, aby nie wykorzystywali Państwa danych osobowych do trenowania swoich modeli ogólnych
• Mogą Państwo wyłączyć rekomendacje personalizowane przez AI w Ustawienia > Dane > Dane i personalizacja > Rekomendacje AI
• Publiczne ogłoszenia o wydarzeniach przesyłane przez użytkowników oraz zdjęcia dodawane do Otwartych zaproszeń przechodzą zautomatyzowany przegląd bezpieczeństwa AI przed ich wyświetleniem (zob. §5) — ta kontrola bezpieczeństwa jest częścią prowadzenia usługi i nie można jej wyłączyć

Więcej: Polityka etyki AI.

12. Pliki cookie i technologie śledzące

Używamy plików cookie i podobnych technologii śledzących na apperah.com (web) oraz równoważnych mechanizmów w aplikacji mobilnej. Szczegóły i Państwa wybory dotyczące zgody: Polityka plików cookie.

Kategorie są następujące:

• Ściśle niezbędne (zawsze włączone): sesja uwierzytelniania, token CSRF, mobilny magazyn kluczy
• Integralność usługi (zawsze włączone): raporty o awariach i podstawowe pomiary czasu działania, abyśmy mogli znajdować awarie i spowolnienia — bez imienia, nazwiska ani adresu e-mail, nigdy do celów reklamowych
• Funkcjonalne (za zgodą): preferencja języka, motyw
• Analityczne (za zgodą): analityka użytkowania przez dostawcę hostowanego w UE, powiązana z identyfikatorem Państwa konta (nigdy z imieniem, nazwiskiem ani adresem e-mail)
• Reklamowe: nie wdrażamy trackerów reklamowych

W jurysdykcjach wymagających zgody wyrażanej poprzez baner (UE/EOG, Wielka Brytania i inne) aplikacja mobilna wyświetla baner zgody przy pierwszym użyciu, a swoje wybory mogą Państwo w każdej chwili zmienić w Ustawienia > Dane > Dane i personalizacja. Nasza strona internetowa (apperah.com) nie ustawia obecnie żadnych opcjonalnych trackerów, dlatego nie wyświetla banera cookie.

Gdy przechodzą Państwo przez link poza Apperah — na przykład do sprzedawcy biletów — strona docelowa może ustawiać własne pliki cookie na podstawie własnych zasad, w tym, w przypadku linków partnerskich, plik cookie przypisujący Państwa wizytę do Apperah (możemy otrzymać prowizję od zakupu; nigdy nie zmienia to ceny, którą Państwo płacą). Szczegóły w naszej Polityce plików cookie.

13. Prywatność dzieci

Apperah nie jest skierowana do małych dzieci. Nasz minimalny wiek rejestracji wynosi obecnie 16 lat wszędzie. Prosimy o datę urodzenia przy każdej metodzie rejestracji, także przy logowaniu społecznościowym; nie można jej później zmienić, a aplikacja nie pozwala przejść dalej bez jej podania. Niektóre wydarzenia i lokale mają oznaczenie 18+: można do nich dołączyć lub je zapisać tylko wtedy, gdy data urodzenia potwierdza ukończenie 18 lat. Wprowadzamy minimalne progi wiekowe dla poszczególnych krajów, dostosowane do wieku zgody cyfrowej w danym kraju na gruncie RODO (który w UE/EOG waha się od 13 do 16 lat — na przykład 16 w Niemczech, 15 we Francji, 14 w Hiszpanii, 13 w Norwegii i Szwecji), przy czym kilka krajów wymaga ukończenia 18 lat lub posiadania zgody rodzica lub opiekuna (na przykład Indie, Republika Południowej Afryki i Brazylia). Dopóki to dostosowanie dla poszczególnych krajów nie zostanie wdrożone, minimalny wiek 16 lat obowiązuje wszystkich. Dokładne minimum dla Państwa kraju, po jego dostosowaniu, jest określone w suplemencie krajowym.

Jeśli sądzą Państwo, że z Apperah korzysta dziecko poniżej obowiązującego u nas wieku, prosimy o kontakt. Działamy na podstawie zgłoszeń dających faktyczną wiedzę, zgodnie z naszymi ramami Bezpieczeństwa młodzieży.

14. Szczególne kategorie danych

Niektóre przetwarzane przez nas dane mogą ujawniać informacje „szczególnej kategorii” w drodze wnioskowania (art. 9 RODO). Przykłady:

• Wzorce lokalizacji mogą ujawniać wizyty związane z religią, zdrowiem, poglądami politycznymi lub orientacją seksualną
• Wydarzenia w kalendarzu mogą ujawniać wizyty lekarskie, praktyki religijne lub działalność polityczną

Do takich danych stosujemy podwyższone zabezpieczenia: minimalizację zbierania, krótkie okresy przechowywania i ograniczony dostęp.

Nie tworzymy na podstawie wnioskowania etykiet szczególnych kategorii danych dotyczących Państwa ani ich Państwu nie przypisujemy.

15. Funkcje podwyższonego ryzyka

Dla funkcji obejmujących bardziej wrażliwe dane przeprowadzamy oceny ochrony danych i stosujemy dodatkowe zabezpieczenia, takie jak minimalizacja danych, ściślejsza kontrola dostępu i krótkie okresy przechowywania. Mogą Państwo zapytać nas o ocenę dotyczącą konkretnej funkcji.

Kto co widzi i kto może się z Państwem skontaktować. W Ustawienia > Prywatność wybierają Państwo dla każdej części profilu jedną z pięciu grup odbiorców: Wszyscy (każdy, zalogowany lub nie), Obserwujący (każdy może Państwa obserwować), Wzajemnie obserwujący (osoby, które Państwo obserwują i które obserwują Państwa), Bliscy znajomi (lista widoczna i zarządzana tylko przez Państwa — obserwujący i obserwowani nie są dodawani automatycznie) albo Tylko ja. Kontrolują Państwo historię aktywności, listy, kartę wydarzeń na profilu, mapę postów, uczestnictwo w wydarzeniach, to, kto może wysłać prośbę o wiadomość, oraz możliwość znalezienia Państwa po imieniu i nazwisku w wyszukiwaniu i sugestiach. Jeśli nie zmienią Państwo ustawień: historia aktywności i karta wydarzeń są widoczne dla wszystkich, mapa postów tylko dla Państwa, uczestnictwo dla wzajemnie obserwujących, każdy może wysłać prośbę o wiadomość, a Państwa profil można znaleźć po imieniu i nazwisku. Bliscy znajomi są zawsze uwzględnieni w udostępnianiu, chyba że wybiorą Państwo Tylko ja albo Nikt. Wyłączenie obecności w wyszukiwaniu i sugestiach nie przerywa działania linków do profilu.

Społeczności publiczne. Po dołączeniu do społeczności publicznej Państwa członkostwo i udział (np. zamiar pójścia na wydarzenie) mogą być widoczne dla innych członków i możliwe do odnalezienia. Kto widzi, że się Państwo wybierają: domyślnie uczestnictwo w wydarzeniach publicznych widzą wzajemnie obserwujący; mogą Państwo rozszerzyć widoczność na obserwujących lub wszystkich, ograniczyć ją do bliskich znajomych albo całkowicie ukryć — wszyscy pozostali widzą wyłącznie liczbę uczestników. Ustawienie jest wzajemne — to, co Państwo pokazują, jest również tym, co widzą Państwo o innych. Społeczności publiczne można znaleźć w wyszukiwaniu, a link z zaproszeniem pokazuje przed dołączeniem podgląd grupy (nazwę, opis, okładkę, liczbę członków). Dla niektórych operacji przetwarzania w społecznościach (katalogów członków, analityki społeczności) Apperah i organizator mogą być współadministratorami na gruncie art. 26 RODO; podział odpowiedzialności opisuje Regulamin organizatorów grup społecznościowych.

Wspomnienia. Przy publikacji Wspomnienia przetwarzamy zdjęcia, filmy i ewentualny podpis, oznaczone osoby oraz — jeśli zostanie dodana — wpisaną lokalizację lub umieszczoną pinezkę na mapie. Dla każdego Wspomnienia wybierają Państwo spośród tych samych pięciu grup odbiorców co na profilu — wszyscy (publiczne), obserwujący, wzajemnie obserwujący, bliscy znajomi lub tylko Państwo — a publiczne Wspomnienia może zobaczyć każda osoba zalogowana w Apperah, także przez udostępnione linki. Oznaczone osoby również widzą Wspomnienie, niezależnie od wybranej widoczności; po oznaczeniu grupy widzą je także jej członkowie — przez czas członkostwa: odejście oznacza utratę dostępu, późniejsze dołączenie go zapewnia. Gdy Państwo zostaną oznaczeni w cudzym Wspomnieniu, pojawia się ono na Państwa profilu tylko po zatwierdzeniu oznaczenia, które można usunąć w każdej chwili. Jeśli autor pozwoli, oznaczone osoby mogą dodawać własne zdjęcia lub filmy do Wspomnienia (ich wkład pozostaje powiązany z kontem i zostaje odłączony po jego usunięciu). Wspomnienie może być też zamieszczone w grupie, do której Państwo należą, i wtedy podlega widoczności tej grupy. Usuwamy ukryte dane techniczne (np. znaczniki GPS) ze zdjęć przy przesyłaniu. Podstawą przetwarzania jest Państwa zgoda (a w odniesieniu do osób przypadkowo uwiecznionych — nasz prawnie uzasadniony interes). Wspomnienia usuwamy lub anonimizujemy, gdy je Państwo usuną lub zamkną konto.

Obserwujący. Obok wzajemnych znajomości mogą Państwo obserwować inne osoby, a inni mogą obserwować Państwa (powiązanie jednokierunkowe). Obserwowanie nie wymaga zatwierdzenia i nie ma kont prywatnych — każda zalogowana osoba może Państwa obserwować. Przechowujemy Państwa listy i liczby obserwujących oraz obserwowanych, a są one widoczne dla każdego zalogowanego użytkownika Apperah; obecnie nie ma ustawienia pozwalającego je ukryć. Jeśli włączą Państwo powiadomienia, ktoś może zostać poinformowany o zyskaniu nowego obserwującego. Mogą Państwo w każdej chwili przestać obserwować, a także zablokować kogoś, aby usunąć jego obserwację i jej zapobiec. Gdy zamykają Państwo konto, Państwa profil jest anonimizowany i dezaktywowany, więc Państwa powiązania obserwowania przestają być widoczne dla Państwa i dla innych.

Wydarzenia publiczne, które Państwo rejestrują. Jeśli zarejestrują Państwo publiczne wydarzenie w katalogu (zob. nasza Polityka wydarzeń i ich organizowania), strona wydarzenia pokazuje Państwa jako jego twórcę — Państwa imię i nazwisko, nazwę użytkownika i zdjęcie profilowe — wraz z ogólnymi liczbami uczestników. Strony wydarzeń publicznych są częścią otwartego katalogu i można je przeglądać w internecie bez konta Apperah. Rejestracja wydarzenia publicznego jest Państwa wyborem; usunięcie wydarzenia usuwa jego stronę.

16. Komunikacja marketingowa

Obecnie nie wysyłamy e-maili marketingowych. Komunikacja z naszej strony ma charakter transakcyjny (powiadomienia dotyczące konta, bezpieczeństwa i planów) lub użytkowy (na przykład przypomnienia o utworzonych przez Państwa planach).

Jeśli wprowadzimy komunikację marketingową:

• Uzyskamy Państwa odrębną, dobrowolną zgodę
• Zamieścimy w każdej wiadomości łatwą opcję rezygnacji z subskrypcji (jedno kliknięcie)
• Będziemy przestrzegać CAN-SPAM (USA), ePrivacy (UE), CASL (Kanada) i równoważnych reżimów

17. Reagowanie na naruszenia ochrony danych

Jeśli wykryjemy naruszenie ochrony danych osobowych:

1. Natychmiast prowadzimy dochodzenie i powstrzymujemy naruszenie
2. Powiadamiamy nasz wiodący organ nadzorczy (Datatilsynet, Norwegia) w ciągu 72 godzin, gdy istnieje ryzyko dla Państwa praw (art. 33 RODO)
3. Powiadamiamy Państwa bezpośrednio, bez zbędnej zwłoki, jeśli istnieje wysokie ryzyko dla Państwa praw (art. 34)
4. Publikujemy podsumowanie istotnych incydentów w naszej sprawozdawczości dotyczącej przejrzystości

18. Skargi i rozstrzyganie sporów

Jeśli mają Państwo zastrzeżenia co do sposobu, w jaki obchodziliśmy się z Państwa danymi:

1. Prosimy o kontakt pod adresem privacy@apperah.com.
2. Mają Państwo również prawo w każdej chwili złożyć skargę do swojego lokalnego organu ochrony danych. W UE/EOG naszym wiodącym organem jest Datatilsynet (Norwegia) w ramach mechanizmu kompleksowej współpracy (one-stop-shop) RODO, a Państwa krajowy organ również może przyjąć skargę. Organy dla innych regionów są wymienione w odpowiednim suplemencie krajowym.

Przysługuje Państwu również prawo do środka ochrony prawnej przed sądem w Państwa jurysdykcji.

19. Aktualizacje niniejszej Polityki

Aktualizujemy niniejszą Politykę, gdy:

• Dodajemy lub zmieniamy funkcje, które wpływają na Państwa dane
• Dodajemy nowych dostawców usług
• Regulatorzy wydają wytyczne, które tego wymagają
• Zmienia się prawo

W przypadku istotnych zmian:

• Powiadomimy Państwa w aplikacji, zanim zmiana wejdzie w życie
• Wyślemy wiadomość e-mail na adres, który mamy w naszych rejestrach
• W widocznym miejscu wskażemy datę wejścia w życie nowej wersji
• Będziemy prowadzić archiwum poprzednich wersji

W przypadku drobnych poprawek (korekty typograficzne, doprecyzowania) aktualizujemy datę wejścia w życie bez indywidualnego powiadomienia.

20. Słowniczek

• Apperah / „my” / „nas”: Apperah Aksjeselskap (norweska spółka AS)
• Państwo / „użytkownik”: osoba posiadająca konto Apperah
• Dane osobowe: informacje, które Państwa identyfikują lub mogłyby zidentyfikować (definicja z art. 4 pkt 1 RODO; odpowiedniki w innych przepisach)
• Przetwarzanie: każde działanie na danych osobowych — zbieranie, przechowywanie, udostępnianie, wykorzystywanie, usuwanie
• Administrator: podmiot, który decyduje, dlaczego i w jaki sposób dane osobowe są przetwarzane (jesteśmy administratorem w odniesieniu do Państwa konta Apperah)
• Podmiot przetwarzający: podmiot trzeci przetwarzający dane w imieniu administratora (np. dostawca dostarczający nasze e-maile lub hostujący nasze dane w naszym imieniu)
• Dane szczególnej kategorii: art. 9 RODO — zdrowie, religia, poglądy polityczne, orientacja seksualna itp.
• Zgoda: art. 4 pkt 11 RODO — dobrowolna, konkretna, świadoma, jednoznaczna, wyrażona w drodze działania potwierdzającego

Suplementy dla poszczególnych jurysdykcji

Niniejsza Polityka jest uzupełniana suplementami dla poszczególnych jurysdykcji tam, gdzie wymaga tego prawo lokalne:

• Kalifornia (US-CA) — CCPA / CPRA
• Quebec (CA-QC) — Loi 25
• Brazylia (BR) — LGPD
• Korea (KR) — PIPA
• Japonia (JP) — APPI
• Australia (AU) — Privacy Act 1988
• Izrael (IL) — PPL Amendment 13
• Republika Południowej Afryki (ZA) — POPIA
• Wielka Brytania (GB) — UK GDPR
• Blok UE — matryca organów ochrony danych (DPA)

Tam, gdzie suplement stanowi „niniejszy suplement ma pierwszeństwo” dla Państwa jurysdykcji, szczegółowe zasady suplementu mają pierwszeństwo przed niniejszą główną Polityką.

Rejestry płatności i pomiarów płatnej ekspozycji

W przypadku płatnej ekspozycji dla firm Apperah AS korzysta ze Stripe jako dostawcy obsługującego płatności. Przetwarzamy dane tożsamości prawnej i rozliczeniowej, dowody rejestracji firmy i rejestracji podatkowej, zapisy dotyczące upoważnionego przedstawiciela i akceptacji warunków, odniesienia do płatności i dokumentów, przepływy kredytów, rezerwacje, decyzje i zawiadomienia o skargach. Korzystamy z tych rejestrów do realizacji umowy z firmą, wypełniania obowiązków podatkowych i księgowych oraz badania sporów. Rejestry finansowe i wymagane dowody pozostają zachowane po usunięciu konta przez właściwy dla nich okres przechowywania. Dane kart płatniczych obsługuje Stripe.

Potwierdzenia wyświetlenia płatnej ekspozycji oraz liczniki wyświetleń/działań nie zachowują identyfikatorów odbiorców. Surowa telemetria jest przechowywana przez 90 dni, a zagregowane raporty realizacji są przechowywane oddzielnie. Nie używamy tej telemetrii do tworzenia osobistych profili reklamowych. Wymagane oznaczenia reklam pozostają dostępne w aplikacjach natywnych. Zob. Warunki płatnej ekspozycji i Politykę zwrotów.