Polityka prywatności Obuwio

Ten dokument opisuje, co dzieje się z danymi, które trafiają do aplikacji Obuwio (obuwio.app). Piszemy tu tylko o tym, co aplikacja naprawdę robi, a nie o tym, co brzmiałoby ładnie.

1. W skrócie

Kilka rzeczy, które warto wiedzieć od razu, zanim przejdziesz do szczegółów:

• Twoje zdjęcia butów są wysyłane do Google. Analiza pary polega na przesłaniu zdjęć do modelu Gemini firmy Google. Bez tego aplikacja nie działa. Szczegóły w sekcji 6.
• Hasło jest opcjonalne i nigdy nie trzymamy go w postaci jawnej. Logujesz się kontem Google, jednorazowym linkiem wysłanym na e-mail albo hasłem, które sam ustawisz z takiego linku. Hasło przechowujemy wyłącznie jako skrót (scrypt z losową solą), którego nie da się odwrócić. Szczegóły w punkcie 4.1.
• Nie łączymy się z Twoim kontem Vinted. Nie logujemy się tam, nie mamy Twoich danych do Vinted i nic za Ciebie nie publikujemy.
• Nie mamy dostępu do Twojej skrzynki e-mail. Jeśli włączysz funkcję poczty, to Ty przekazujesz nam wybrane wiadomości. My nie zaglądamy do Twojej skrzynki. Szczegóły w sekcji 7.
• Nie zbieramy danych Twoich kupujących. W bazie nie ma miejsca na ich imiona, adresy ani wiadomości.
• Narzędzia reklamowe działają wyłącznie za Twoją zgodą i tylko na stronach publicznych. Na stronie głównej, ekranie logowania, potwierdzeniu zakupu i stronach z dokumentami prawnymi możemy, po Twojej zgodzie w banerze, uruchomić Meta Pixel oraz narzędzia Google (Analytics, Ads), żeby mierzyć skuteczność reklam. Bez zgody nic się nie ładuje, a w aplikacji po zalogowaniu takich narzędzi nie ma wcale. Szczegóły w punkcie 5.14 i sekcji 13.
• Nie mamy jeszcze automatycznego kasowania danych. Usunięcia wykonujemy dziś ręcznie, na wniosek. Mówimy o tym wprost w sekcji 10, razem z terminami, które nas obowiązują.

2. Kto jest administratorem Twoich danych

Administratorem danych osobowych przetwarzanych w Obuwio jest:

Handel Art. Spoż.-Przem. Wyrobami Tytoniowymi "AKCES" Andrzej Gauza, osoba fizyczna prowadząca jednoosobową działalność gospodarczą, wpisana do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG) ul. Księcia Józefa Poniatowskiego 13, 74-505 Mieszkowice NIP 8581174584, REGON 811847929 (działalność jednoosobowa, nie podlega wpisowi do KRS)

Nie powołaliśmy inspektora ochrony danych i nie mamy takiego obowiązku: nie jesteśmy organem publicznym, nasza podstawowa działalność nie polega ani na regularnym monitorowaniu osób na dużą skalę, ani na przetwarzaniu na dużą skalę danych szczególnych kategorii. We wszystkich sprawach dotyczących danych osobowych pisz na kontakt@obuwio.app.

Wobec wszystkich danych, które przechodzą przez Obuwio, występujemy jako ADMINISTRATOR, także wtedy, gdy korzystasz z aplikacji w ramach własnej działalności gospodarczej. Wynika to z tego, co naprawdę przetwarzamy: zdjęcia przedstawiają towar, a nie ludzi, więc nie przetwarzamy w Twoim imieniu cudzych danych osobowych. Powiadomienia o sprzedaży zapisujemy wyłącznie jako zdarzenie (tytuł oferty i kwota); treść wiadomości oraz dane kupującego nie trafiają do naszej bazy. Z tego powodu nie zawieramy z Tobą odrębnej umowy powierzenia przetwarzania. Gdybyś zaczął wgrywać zdjęcia przedstawiające osoby albo dokumenty z danymi osobowymi, ta ocena wymagałaby zmiany, a takie użycie aplikacji nie jest przewidziane.

2.1. Kiedy administratorem jesteś Ty, a my tylko przetwarzamy

Rozdzielamy dwie sytuacje, bo są to dwie różne role.

Wobec danych dotyczących Ciebie (adres e-mail, dane konta, historia zakupów pakietów, rejestr operacji na analizach, dane potrzebne do rozliczeń podatkowych) administratorem jesteśmy my: to my decydujemy o celach i sposobach ich przetwarzania. Opisuje to cała ta polityka.

Wobec danych osób trzecich, które sam wprowadzasz do aplikacji, korzystając z niej w ramach działalności gospodarczej (na przykład wizerunek osoby widocznej na wgranym zdjęciu albo dane kupującego z przekazanej przez Ciebie wiadomości), administratorem jesteś Ty, a my jesteśmy podmiotem przetwarzającym. Przetwarzamy je wyłącznie po to, żeby wykonać usługę, i wyłącznie na Twoje polecenie, którym jest korzystanie z funkcji aplikacji.

Warunki tego powierzenia, wymagane art. 28 ust. 3 RODO, zawiera Załącznik nr 2 do regulaminu. Nie musisz podpisywać osobnego dokumentu: akceptując regulamin, zawierasz z nami umowę powierzenia.

Jeżeli korzystasz z aplikacji prywatnie, ta sekcja Cię nie dotyczy: przetwarzanie w ramach czynności o czysto osobistym charakterze pozostaje poza zakresem RODO (art. 2 ust. 2 lit. c RODO).

3. Kontakt w sprawie danych

We wszystkich sprawach dotyczących danych osobowych (wniosek o dostęp, poprawienie, usunięcie, pytanie o cokolwiek z tego dokumentu) pisz na:

kontakt@obuwio.app

Jest to adres, który aplikacja podaje jako adres odpowiedzi w każdej wysyłanej wiadomości (mail z linkiem do logowania i mail powitalny po zakupie). Odpowiadamy na wnioski dotyczące danych bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od otrzymania wniosku.

kontakt w sprawach danych osobowych prowadzimy wyłącznie pocztą elektroniczną, pod adresem kontakt@obuwio.app

4. Jakie dane przetwarzamy

Poniższa lista wynika wprost z tego, co aplikacja zapisuje w bazie i w magazynie plików. Nie jest to lista „na wszelki wypadek".

4.1. Dane konta i logowania

• Twój adres e-mail (jest jednocześnie identyfikatorem konta i musi być niepowtarzalny).
• Imię lub nazwa oraz adres zdjęcia profilowego (tylko jeśli logujesz się kontem Google i Google nam je przekazuje).
• Wewnętrzny identyfikator użytkownika, data założenia konta oraz informacja, którego konta używałeś ostatnio.
• Znacznik potwierdzenia adresu e-mail.
• Jeżeli logujesz się kontem Google: identyfikator Twojego konta u Google oraz tokeny wystawione przez Google (token dostępu, token odświeżający, token tożsamości, czas ważności, zakres uprawnień). Są to dane techniczne, ale wrażliwe, więc traktujemy je poważnie. Prosimy przy tym Google wyłącznie o zakres potrzebny do zalogowania Cię: potwierdzenie tożsamości, adres e-mail i podstawowe dane profilu. Te tokeny nie dają dostępu do Twojej poczty, Dysku ani innych usług Google (patrz też punkt 7.1).
• Jeżeli logujesz się linkiem e-mail: adres, na który wysłano link, sam jednorazowy token i jego termin ważności (24 godziny). Po użyciu lub wygaśnięciu token traci ważność.

Hasło jest opcjonalne. Możesz je ustawić z linku wysłanego na Twój adres e-mail i logować się nim zamiast linkiem lub kontem Google. W bazie przechowujemy wyłącznie jego skrót (scrypt z losową solą; parametry kosztu zapisane w skrócie, żeby dało się je kiedyś podnieść) oraz datę ustawienia. Samego hasła nie znamy i nie możemy Ci go przypomnieć, możemy jedynie wysłać link do ustawienia nowego.

4.2. Dane konta sprzedawcy (Twojej przestrzeni roboczej)

• Nazwa konta i jego adres wewnętrzny (slug).
• Ustawienia konta: maksymalny stan podawany w ogłoszeniu, próg przerwy między zdjęciami przy grupowaniu w pary, minimalna marża, koszt opakowania, waluta, reguły obniżek dla ofert leżących bez sprzedaży. Uczciwie: nie ma dziś w aplikacji ekranu, na którym dałoby się je zmienić. Działają wartości domyślne, a zmienić je możemy na Twoją prośbę (patrz punkt 11.2).
• Saldo tokenów i licznik nadawanych numerów SKU.
• Adres odbiorczy poczty (jeśli włączyłeś funkcję poczty) wraz z datą jego nadania i datą ostatniej odebranej wiadomości. Ten adres traktujemy jak sekret: kto go zna, ten może wstrzykiwać zdarzenia do Twojego konta.
• Informacja o tym, kto należy do konta i z jaką rolą (właściciel albo członek). Jedno konto może mieć wielu użytkowników, a każdy z nich widzi wszystkie dane tego konta (patrz sekcja 8).

4.3. Zdjęcia

• Sam plik zdjęcia oraz wygenerowana miniatura.
• Wymiary, rozmiar w bajtach, typ pliku, kolejność w parze.
• Czas wykonania zdjęcia odczytany z metadanych EXIF oraz, jako zapas, data modyfikacji pliku. Służą do grupowania zdjęć w pary.
• Skrót SHA-256 pliku liczony na Twoim urządzeniu, żeby przerwana wysyłka nie wgrała tego samego zdjęcia dwa razy.

Metadane lokalizacji nie docierają do nas. Zanim zdjęcie opuści Twoje urządzenie, aplikacja odczytuje z EXIF wyłącznie dwie daty (czas wykonania), a następnie zmniejsza zdjęcie do maksymalnie 1600 pikseli i zapisuje je na nowo jako JPEG. To przekodowanie usuwa cały blok EXIF, w tym ewentualne współrzędne GPS. W naszej bazie nie ma zresztą żadnego pola na lokalizację zdjęcia.

4.4. Dane par butów i wyniki analizy

• Rozpoznane cechy: marka, model, kod producenta, rozmiar i jego system, długość wkładki, kolor, materiał, stan faktyczny i stan podany w ogłoszeniu.
• Wygenerowany tytuł i opis, proponowana ścieżka kategorii Vinted.
• Miary pewności rozpoznania, ostrzeżenia i flagi jakościowe, lista pól, które poprawiłeś ręcznie.
• Cena, podłoga cenowa, numer SKU, wskazanie ewentualnego duplikatu.
• Miejsce przechowywania pary, jeśli je wpiszesz (np. oznaczenie półki lub kartonu).
• Dostawa, do której należą zdjęcia: automatycznie nadana nazwa z datą (np. „Dostawa 12.03.2026"), liczniki zdjęć i par oraz daty otwarcia i zamknięcia.
• Surowa odpowiedź modelu AI zapisana w całości. Służy do rozwiązywania problemów z jakością rozpoznania.

W bazie istnieją też pola przygotowane pod funkcje, których dziś nie ma (m.in. cena sugerowana z wyceny rynkowej, licznik ponownych generacji opisu, data wycofania oferty). Żaden kod ich nie zapisuje, więc pozostają puste. Wymieniamy je tylko po to, żeby ta lista zgadzała się z tym, co zobaczyłbyś w bazie.

4.5. Dane handlowe i finansowe Twojej sprzedaży

• Wystawienia: cena początkowa, cena bieżąca, data wystawienia, ręcznie wklejony przez Ciebie odnośnik do Twojego ogłoszenia.
• Historia zmian cen wraz z powodem.
• Sprzedaże: kwota brutto, koszt wysyłki, opakowania, inne koszty, zapisany koszt zakupu, wyliczony zysk, data sprzedaży i źródło wpisu (ręczny albo z przekazanej poczty).
• Koszty: typ (zakup, wysyłka, opakowanie, zwrot, inne), kwota, notatka.

To są dane o Twojej działalności. Dla wielu osób jest to ich pełna księgowość sprzedaży na Vinted.

4.6. Dane o pakietach i zużyciu tokenów

• Partie tokenów: liczba przyznana, liczba pozostała, źródło (zakup, pakiet startowy, przyznanie ręczne), zapłacona kwota, data zakupu i data wygaśnięcia.
• Rejestr operacji: każda zmiana salda z powodem (zakup, zużycie, zwrot za nietrafione rozpoznanie, zwrot za duplikat, wygaśnięcie, korekta), z saldem po operacji i powiązaną parą butów.

4.7. Dane płatności

Płatność odbywa się w całości na stronie Stripe. Nie widzimy i nie zapisujemy danych Twojej karty.

Z powrotem otrzymujemy wyłącznie:

• adres e-mail podany przez Ciebie w formularzu płatności,
• identyfikator sesji płatności,
• informację o wybranym pakiecie i jego cenie (przekazywaną jako dane sesji).

Na podstawie samego adresu e-mail zakładane jest konto, jeśli jeszcze go nie miałeś.

4.8. Zdarzenia z przekazanej poczty

Dotyczy tylko osób, które włączyły funkcję poczty. Zapisujemy z przekazanej wiadomości wyłącznie:

• typ zdarzenia (sprzedaż, wiadomość od kupującego, opłacona wysyłka, przypomnienie o wysyłce, weryfikacja przekierowania, nierozpoznane),
• kwotę,
• tytuł ogłoszenia,
• czas zdarzenia,
• dopasowaną parę butów, miarę pewności dopasowania, status i ewentualny powód odrzucenia.

Jeden wyjątek, o którym musimy powiedzieć wprost: przy wiadomości potwierdzającej przekazywanie z Gmaila zapisujemy dodatkowo temat wiadomości, kod potwierdzający i sam link potwierdzający, bo bez nich nie da się dokończyć konfiguracji. Opisujemy to w punkcie 7.4.

Szczegóły (w tym to, czego celowo nie zapisujemy) opisujemy w sekcji 7.

4.9. Dane techniczne i logi

• Adres IP przy zakupie pakietu: nasz kod używa go wyłącznie jako klucza limitu zapytań (20 na minutę) i trzyma w pamięci działającej instancji serwera. Nie zapisujemy go do naszej bazy ani do naszych logów zdarzeń bezpieczeństwa. Niezależnie od tego techniczne dane każdego żądania, w tym adres IP, rejestruje automatycznie nasz dostawca hostingu (Vercel) w swoich logach platformy. Korzystamy z nich wyłącznie do diagnostyki i bezpieczeństwa (patrz punkt 5.9).

Logi żądań powstają po stronie dostawcy hostingu i zawierają dane techniczne połączenia: adres żądania, kod odpowiedzi, czas przetwarzania oraz adres IP, z którego przyszło żądanie. Przechowuje je dostawca przez okres wynikający z wykupionego planu; obecnie jest to okno rzędu kilkunastu godzin i w żadnym wypadku nie dłuższe niż 30 dni. Nie kopiujemy tych logów, nie archiwizujemy ich poza tym oknem i nie łączymy ich z danymi Twojego konta.

• Logi zdarzeń bezpieczeństwa: zapis o zdarzeniu typu „próba eksportu bez uprawnień", „przekroczony limit", „zła sygnatura webhooka". Zawierają nazwę zdarzenia oraz, zależnie od zdarzenia, identyfikator konta, identyfikator sesji płatności albo partii tokenów i kod powodu odrzucenia. Nie zawierają adresu e-mail, adresu IP, adresu odbiorczego poczty ani treści wiadomości.
• Log wywołań modelu AI: nazwa modelu, liczba tokenów wejścia i wyjścia, koszt w złotych, czas odpowiedzi, powodzenie lub kod błędu i cel wywołania. Nie zawiera treści zapytania ani zdjęć.
• Kolejka zadań: rodzaj zadania (np. analiza pary, grupowanie dostawy), identyfikator pary, liczba prób i treść błędu nieudanego zadania. Ta ostatnia bywa fragmentem odpowiedzi modelu, na przykład kawałkiem wygenerowanego tytułu albo opisu, przy którym analiza się wyłożyła.

4.10. Czego nie zbieramy

Dla jasności, bo to równie ważne:

• Nie zbieramy danych Twoich kupujących. W całej bazie nie ma pola na nazwisko, adres, telefon ani nick kupującego z Vinted. Parser przekazanych maili jest napisany tak, żeby nie zapisać nawet fragmentu treści wiadomości od kupującego. Dlatego przy tego typu wiadomościach odrzucamy nawet temat, który zawiera nick nadawcy.
• Nie zbieramy danych o lokalizacji.
• Nie zbieramy danych szczególnych kategorii (art. 9 RODO) i nie prosimy o nie.
• W aplikacji po zalogowaniu nie prowadzimy analityki zachowania ani śledzenia reklamowego. Na stronach publicznych narzędzia reklamowe mogą działać wyłącznie po Twojej zgodzie (punkt 5.14).

Jedno zastrzeżenie, żeby było uczciwie: kilka pól wypełniasz swobodnym tekstem (miejsce przechowywania pary, notatka przy zgłoszeniu problemu z parą, powód odrzucenia pary oraz pola, które poprawiasz ręcznie po analizie: tytuł, opis). Jeżeli wpiszesz tam czyjeś dane, na przykład nazwisko kupującego przy zwrocie, zapiszą się razem z resztą wpisu, mimo wszystkiego, co napisaliśmy wyżej. Prosimy, żebyś tego nie robił: aplikacja nigdzie tych danych nie potrzebuje.

5. Po co przetwarzamy dane i na jakiej podstawie prawnej

Każdy cel osobno, z podstawą z art. 6 ust. 1 RODO.

5.1. Założenie konta i logowanie

Dane: adres e-mail, imię i awatar z Google, tokeny Google, jednorazowe tokeny logowania, identyfikatory sesji. Podstawa: art. 6 ust. 1 lit. b RODO, czyli przetwarzanie niezbędne do wykonania umowy o świadczenie usługi (bez konta nie ma dostępu do aplikacji).

5.2. Świadczenie właściwej usługi: analiza zdjęć i przygotowanie ogłoszeń

Dane: zdjęcia, dane par butów, wyniki analizy, ustawienia konta. Zakres: grupowanie zdjęć w pary, rozpoznanie cech obuwia, wygenerowanie tytułu i opisu, propozycja kategorii, wykrywanie duplikatów wobec Twojego magazynu, wyliczenie podłogi cenowej, etykiety z kodem QR. Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy). To jest dokładnie ta usługa, za którą płacisz.

5.3. Prowadzenie Twojej ewidencji sprzedaży i kosztów

Dane: wystawienia, zmiany cen, sprzedaże, koszty, eksport CSV. Podstawa: art. 6 ust. 1 lit. b RODO, czyli wykonanie umowy. Ewidencja sprzedaży jest funkcją aplikacji, z której korzystasz.

5.4. Sprzedaż pakietów tokenów i rozliczenie ich zużycia

Dane: adres e-mail z płatności, identyfikator sesji Stripe, wybrany pakiet, partie tokenów i rejestr operacji (w tym zwroty tokenów za nietrafione rozpoznanie i za duplikat). Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy sprzedaży pakietu i jej rozliczenie).

5.5. Obowiązki księgowe i podatkowe

Dane: dane transakcji sprzedaży pakietu. Podstawa: art. 6 ust. 1 lit. c RODO, czyli obowiązek prawny ciążący na administratorze. Zdjęcia i miniatury: 2 lata od wgrania. Dane par bez historii handlowej: 2 lata od utworzenia. Dane par, przy których doszło do sprzedaży albo zapisano koszt, oraz same dane sprzedaży, wystawień i kosztów: 5 lat licząc od końca roku podatkowego, w którym powstały, bo tego wymagają przepisy podatkowe. Dane transakcji zakupu pakietów i rejestr operacji na tokenach: 5 lat licząc od końca roku podatkowego. Zdarzenia z przekazanej poczty: 1 rok. Log wywołań modelu AI: 1 rok. Zakończone zadania z kolejki: 90 dni. Konta nieaktywne: 3 lata, przy czym przed usunięciem wysyłamy ostrzeżenie na adres e-mail przypisany do konta.

5.6. Wysyłka wiadomości obsługowych

Dane: adres e-mail. Zakres: wiadomość z jednorazowym linkiem do logowania oraz wiadomość powitalna po opłaceniu pakietu. Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy). Nie są to wiadomości marketingowe; nie prowadzimy newslettera.

5.7. Przetwarzanie zdarzeń z przekazanej przez Ciebie poczty

Dane: dane zdarzenia opisane w punkcie 4.8. Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy). Funkcja jest dobrowolna: uruchamiasz ją, konfigurując przekazywanie w swojej skrzynce, i wyłączasz, wyłączając to przekazywanie.

5.8. Rozpatrywanie reklamacji i obsługa zgłoszeń

Dane: dane kontaktowe i dane transakcji, których dotyczy zgłoszenie. Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy), a w zakresie, w jakim przepisy nakazują określony sposób rozpatrzenia reklamacji konsumenta, art. 6 ust. 1 lit. c RODO.

5.9. Bezpieczeństwo usługi

Dane: adres IP jako klucz limitu zapytań, logi żądań po stronie hostingu (zawierające adres IP), logi zdarzeń bezpieczeństwa, wyniki weryfikacji SPF/DKIM przy poczcie przychodzącej, informacje o przynależności do konta. Zakres: ograniczanie liczby zapytań, diagnostyka awarii, wykrywanie prób nieuprawnionego dostępu, odrzucanie sfałszowanych wiadomości, izolacja danych między kontami. Podstawa: art. 6 ust. 1 lit. f RODO, czyli nasz prawnie uzasadniony interes polegający na ochronie usługi i danych użytkowników przed nadużyciem oraz na utrzymaniu jej sprawności.

5.10. Kontrola kosztów i jakości działania modelu AI

Dane: log wywołań modelu (bez treści i bez zdjęć), surowa odpowiedź modelu zapisana przy parze. Podstawa: art. 6 ust. 1 lit. f RODO: prawnie uzasadniony interes polegający na kontrolowaniu kosztów usługi i poprawianiu jakości rozpoznania.

5.11. Ustalenie, dochodzenie i obrona roszczeń

Dane: dane konta, dane transakcji, rejestr operacji na tokenach. Podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).

5.12. Zapisy w Twojej przeglądarce

Dane: ciasteczko sesji i wyboru konta, kolejka niewysłanych zdjęć i decyzji, pamięć podręczna stron (opisane w sekcji 13). Zakres: utrzymanie sesji, dokończenie przerwanej wysyłki zdjęć, działanie aplikacji przy słabym połączeniu i bez sieci. Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy), w powiązaniu z przepisami o zapisach w urządzeniu końcowym, które zwalniają z obowiązku zgody wszystko, co jest niezbędne do świadczenia usługi zamówionej przez użytkownika.

5.13. Czy musisz podać te dane

Żaden przepis nie nakłada na Ciebie obowiązku podania nam czegokolwiek. Natomiast:

• Adres e-mail jest warunkiem zawarcia umowy: bez niego nie założymy konta i nie damy Ci dostępu do opłaconego pakietu, bo to na ten adres idzie link do logowania.
• Zdjęcia są niezbędne do wykonania usługi. Bez nich analiza nie ma czego rozpoznać.
• Reszta jest dobrowolna. Imię i zdjęcie profilowe pobieramy wyłącznie wtedy, gdy sam wybierzesz logowanie kontem Google. Miejsce przechowywania pary, koszty, dane sprzedaży i odnośnik do ogłoszenia wpisujesz sam. Funkcję poczty włączasz z własnej woli, konfigurując przekazywanie w swojej skrzynce. Niepodanie tych danych oznacza tylko brak danej funkcji, nie utratę dostępu do usługi.

5.14. Marketing i pomiar skuteczności reklam (wyłącznie za Twoją zgodą)

Dane: losowy identyfikator nadany przez narzędzie reklamowe i zapisany w ciasteczku, adres oglądanej strony publicznej, parametry z linku reklamowego (np. fbclid, gclid), typ urządzenia i przeglądarki oraz zdarzenia: wejście na stronę, rozpoczęcie płatności i zakup pakietu (z kwotą, walutą i numerem transakcji; bez Twojego adresu e-mail i bez danych z konta). Zakres: sprawdzenie, które reklamy przyprowadzają klientów, i rozliczenie ich kosztu. Narzędzia: Meta Pixel (Meta Platforms Ireland) oraz Google Analytics i Google Ads (Google Ireland). Gdzie: wyłącznie na stronach publicznych: strona główna, ekran logowania, potwierdzenie zakupu, dokumenty prawne. W aplikacji po zalogowaniu te narzędzia nie działają i nie wysyłamy z niej żadnych zdarzeń. Podstawa: art. 6 ust. 1 lit. a RODO (Twoja zgoda), a dla samego zapisu w Twoim urządzeniu art. 399 ustawy Prawo komunikacji elektronicznej. Zgodę wyrażasz w banerze przyciskiem „Zgadzam się". Do tego momentu żaden skrypt tych narzędzi nie jest ładowany, a odmowa („Tylko niezbędne") jest tak samo łatwa jak zgoda. Baner nie blokuje strony; zignorowany działa jak odmowa. Cofnięcie: w każdej chwili, przez „Ustawienia cookies" w stopce strony głównej (baner pojawia się ponownie) albo przez wyczyszczenie danych witryny w przeglądarce (ciasteczka i pamięć lokalna; samo usunięcie ciasteczek nie wystarczy, bo decyzja leży w pamięci lokalnej). Cofnięcie działa od tej chwili i nie wpływa na zgodność z prawem tego, co wysłano wcześniej. Po roku od decyzji pytamy ponownie. Automatyczne zdarzenia Meta Pixela (rejestrowanie kliknięć w przyciski i zawartości pól formularzy) wyłączamy w konfiguracji; piksel wysyła wyłącznie trzy zdarzenia wymienione wyżej. Kto za co odpowiada: przy zbieraniu i przesyłaniu danych przez Meta Pixel jesteśmy z Meta Platforms Ireland współadministratorami (art. 26 RODO) w zakresie opisanym w załączniku Meta dla administratorów (facebook.com/legal/controller_addendum); dalsze przetwarzanie w systemach Meta odbywa się na odpowiedzialność Meta. W Google Ads Google Ireland jest odrębnym administratorem (privacy.google.com/businesses/controllerterms/), a w Google Analytics przetwarza dane na nasze zlecenie (business.safety.google/adsprocessorterms/).

6. Zdjęcia a sztuczna inteligencja: co dokładnie wysyłamy do Google

To najważniejsza sekcja tego dokumentu, więc piszemy ją bez ogródek.

6.1. Twoje zdjęcia opuszczają naszą infrastrukturę

Żeby rozpoznać but, wysyłamy Twoje zdjęcia do zewnętrznego dostawcy modelu AI. Tym dostawcą jest Google. Korzystamy z usługi Gemini API (generativelanguage.googleapis.com). Domyślnie używanym modelem jest gemini-3.7-flash.

Bez tego kroku aplikacja nie ma jak zadziałać. Nie da się z niego zrezygnować i jednocześnie korzystać z analizy.

6.2. Co konkretnie jest wysyłane

Przy analizie jednej pary butów wysyłamy:

• Same pliki zdjęć: zawartość obrazu, osadzona bezpośrednio w treści zapytania (nie jako odnośnik do naszego magazynu). Wysyłamy maksymalnie sześć pierwszych zdjęć danej pary.
• Krótkie polecenie po polsku („Przeanalizuj zdjęcia tej pary butów") oraz instrukcję opisującą, jak model ma odpowiedzieć.

Nie wysyłamy przy tym Twojego adresu e-mail, imienia, identyfikatora konta ani żadnych danych o Twojej sprzedaży. Zdjęcia są też pozbawione metadanych EXIF, bo aplikacja usuwa je jeszcze na Twoim urządzeniu (patrz punkt 4.3).

6.3. Zdjęcia mogą pojechać dwa razy

Jeśli pierwsza odpowiedź modelu złamie zasady, których pilnujemy (np. użyje słowa sugerującego, że but jest nowy), wykonujemy jedno dodatkowe zapytanie z tym samym kompletem zdjęć i uwagą, co poprawić. Czyli jedna para butów to nawet dwie wysyłki zdjęć do Google, mimo że token zostaje pobrany tylko raz.

6.4. Co zostaje u nas po analizie

• Odpowiedź modelu zapisujemy w całości przy danej parze (pole techniczne służące do diagnozowania jakości rozpoznania).
• Osobno zapisujemy statystykę wywołania: model, liczba tokenów, koszt, czas odpowiedzi, powodzenie. Bez zdjęć i bez treści zapytania.

6.5. Czego nie wiemy i musimy dopowiedzieć

Klucz, którym Obuwio łączy się z modelem, działa w PŁATNYM poziomie usługi Google. Na tym poziomie Google zobowiązuje się nie wykorzystywać przesłanych treści do trenowania swoich modeli. Zdjęcia są wysyłane wyłącznie po to, żeby rozpoznać produkt, i nie są przez nas przekazywane nikomu innemu. Warunki przetwarzania po stronie Google określa umowa zawarta przez Usługodawcę z dostawcą modelu.

Google Cloud Poland Sp. z o.o. z siedzibą w Warszawie, Rondo Daszyńskiego 2C, 00-843 Warszawa, NIP PL5252822767. Jest to podmiot z siedzibą w Polsce, więc sama umowa o świadczenie usługi modelu AI nie wiąże się z przekazaniem danych poza Europejski Obszar Gospodarczy. Warunki przetwarzania określa umowa powierzenia zawarta z tym podmiotem.

6.6. Wysyłamy zdjęcia tylko wtedy, gdy analizujesz

Zdjęcia wgrane, ale nigdy nieprzeanalizowane, nie są wysyłane do Google. Wysyłka następuje w momencie uruchomienia analizy danej pary.

7. Adres odbiorczy i poczta przekazywana z Vinted

Funkcja jest dobrowolna i domyślnie nic nie robi.

7.1. Nie mamy dostępu do Twojej skrzynki

Vinted nie udostępnia publicznego API, więc informacje o sprzedaży wyłapujemy z powiadomień e-mail. Żeby to działało:

• Nie logujemy się do Twojej skrzynki. Nie prosimy o hasło do poczty, nie łączymy się przez IMAP i nie prosimy Cię o zgodę na dostęp do Gmaila.
• To Ty ustawiasz w swojej skrzynce przekazywanie wiadomości na wygenerowany dla Ciebie adres odbiorczy oraz filtr, który przepuszcza tylko wiadomości od Vinted.
• Instrukcja w aplikacji wyraźnie odradza włączanie przekazywania całej poczty. Filtr na nadawcę wystarcza.
• Przekazywanie możesz w każdej chwili wyłączyć w swojej skrzynce, bez pytania nas o zgodę.

Jedyny wyjątek: przy potwierdzaniu przekierowania w Gmailu aplikacja odwiedza link potwierdzający Google. Robi to bez ciasteczek, bez podążania za przekierowaniami i wyłącznie na zamkniętą listę adresów Google.

7.2. Twój adres odbiorczy to sekret

Adres ma losową część lokalną (10 znaków) w domenie in.obuwio.app i jest generowany kryptograficznie. Traktuj go jak hasło. Kto go zna, ten może wstrzykiwać zdarzenia do Twojego konta. W aplikacji możesz wygenerować nowy adres; stary przestaje wtedy działać natychmiast.

Adresu odbiorczego nie zapisujemy w logach.

7.3. Co dzieje się z przekazaną wiadomością

1. Wiadomość trafia do Cloudflare Email Routing, a stamtąd, przez nasz program pośredniczący, na punkt odbiorczy aplikacji.
2. Sprawdzamy, czy wiadomość ma potwierdzenie autentyczności nadawcy (SPF albo DKIM). Bez żadnego z nich wiadomość jest odrzucana. Sam nagłówek „From" da się podrobić jednym poleceniem.
3. Wiadomość jest parsowana w pamięci: wyciągamy z niej typ zdarzenia, kwotę, tytuł ogłoszenia i czas.
4. Do bazy trafia wyłącznie to wyciągnięte zdarzenie. Treść wiadomości (ani tekstowa, ani HTML) nie jest nigdzie zapisywana ani wypisywana do logów; żyje tylko przez czas przetwarzania jednego żądania.

7.4. Wiadomość potwierdzająca z Gmaila: tu zapisujemy więcej

Temat wiadomości zapisujemy wyłącznie przy wiadomości weryfikującej przekierowanie z Gmaila, bo to w nim znajduje się kod potwierdzający. Przy wszystkich pozostałych typach temat jest celowo odrzucany. W powiadomieniach Vinted zawiera on tożsamość kupującego (np. „Nowa wiadomość od…"), a tego nie chcemy mieć w bazie.

Przy tej jednej wiadomości zapisujemy też kod potwierdzający i sam link potwierdzający z Gmaila, bo na jego podstawie aplikacja może potwierdzić przekierowanie za Ciebie. Link przyjmujemy wyłącznie wtedy, gdy prowadzi na jeden z czterech adresów Google z zamkniętej listy; wszystko inne jest ignorowane, żeby podrobiona wiadomość nie zrobiła z naszego serwera pośrednika do dowolnego adresu. Zapisany kod razem z linkiem pokazuje się na ekranie Poczty w liście ostatnich zdarzeń. Widzisz go tylko Ty, po zalogowaniu na swoje konto.

Jak długo trzymamy ten kod i link. Krócej niż resztę poczty, bo to jedyna kategoria, w której przechowujemy cudzy sekret: kto ma ten link, ten potwierdzi przekierowanie skrzynki. Dlatego:

• gdy potwierdzenie wykona za Ciebie aplikacja, kod i link kasujemy natychmiast po udanym potwierdzeniu, w tej samej operacji;
• kod niewykorzystany, a także taki, który wkleiłeś w Gmailu samodzielnie (o czym aplikacja nie ma skąd wiedzieć), kasuje automatyczne zadanie po 30 dniach.

W obu przypadkach usuwamy sam kod i link. Zdarzenie zostaje na liście poczty jako ślad, że wiadomość przyszła.

Kwotę i tytuł ogłoszenia wyciągamy tylko z wiadomości transakcyjnych, nigdy z wiadomości od kupującego.

7.5. Jeśli przekażesz coś innego

Jeśli na adres odbiorczy trafi wiadomość, której nie rozpoznajemy, albo od nadawcy bez potwierdzenia SPF/DKIM, jej treść i tak nie zostaje zapisana. Powstaje wtedy najwyżej pusty wpis o nierozpoznanym lub odrzuconym zdarzeniu z datą i powodem odrzucenia.

8. Komu przekazujemy dane

Nie sprzedajemy danych. Danych z Twojego konta nie udostępniamy w celach marketingowych. Osobną sprawą są narzędzia reklamowe na stronach publicznych: działają wyłącznie za Twoją zgodą i dostają tylko to, co opisano w punkcie 5.14; stoją na końcu poniższej tabeli. Poza nimi korzystamy z dostawców, bez których usługa nie mogłaby działać. Poniżej lista wraz z tym, po co każdy z nich jest potrzebny, a pod tabelą dwie kategorie odbiorców, które nie są dostawcami, ale też muszą tu być.

Inni użytkownicy Twojego konta. Jeśli do Twojego konta należy więcej niż jedna osoba, każda z nich widzi wszystkie dane tego konta: zdjęcia, pary, ceny, sprzedaże, koszty i eksporty CSV. Role (właściciel albo członek) są dziś tylko oznaczeniem, kto konto założył; nie różnicują widoczności danych.

My. Dostęp do bazy i do magazynu zdjęć mają osoby obsługujące serwis po naszej stronie. Jest niezbędny do utrzymania aplikacji, obsługi zgłoszeń, ręcznego przyznania pakietu kupionego poza aplikacją i ręcznego usunięcia konta (patrz punkt 10.3). Bez tego dostępu nie dałoby się tych rzeczy zrobić. Dziś ten dostęp ma wyłącznie właściciel serwisu, czyli osoba wskazana w punkcie 1 jako administrator. Nie zatrudniamy nikogo do obsługi aplikacji i nie dopuszczamy do bazy ani do magazynu zdjęć żadnej osoby trzeciej. Jeżeli to się zmieni, każda dopuszczona osoba dostanie pisemne upoważnienie do przetwarzania danych i zobowiązanie do zachowania poufności, a to zdanie zostanie tu poprawione.

Osobno: do przeliczania kosztów wywołań AI na złotówki pobieramy kurs dolara z publicznego API Narodowego Banku Polskiego. Nie są tam wysyłane żadne Twoje dane. To zwykłe zapytanie o kurs.

Poza tym dane mogą zostać udostępnione podmiotom uprawnionym na podstawie przepisów prawa (np. organom ścigania), jeżeli wystąpią z prawidłową podstawą prawną.

8.1. Kto dokładnie stoi za tymi nazwami

Nazwa handlowa z nagłówka serwisu bywa inna niż spółka, która jest stroną umowy powierzenia. Poniżej podmioty ustalone z ich własnych dokumentów prawnych, stan na 4 września 2026 r.

Trzy rzeczy z tej tabeli wymagają wyjaśnienia, bo nie są oczywiste.

Logowanie kontem Google to nie jest powierzenie. Przy Gemini API Google działa jako podmiot przetwarzający na nasze polecenie. Przy logowaniu OAuth jest odrębnym administratorem: przetwarza dane na własną odpowiedzialność i według własnej polityki prywatności, a my nie mamy nad tym kontroli. Dlatego w tym jednym przypadku nie ma i nie może być umowy powierzenia.

Nawet przy płatnym Gemini API rola Google jest podwójna. Wobec zdjęć i poleceń wysyłanych do analizy Google jest podmiotem przetwarzającym. Wobec danych o samym korzystaniu z usługi (dane rozliczeniowe, liczba tokenów, błędy, zgłoszenia) pozostaje administratorem.

Stripe zawiera umowę z inną spółką niż ta z nagłówka. Umowa powierzenia rozstrzyga to wprost: konto z Ameryki Północnej lub Południowej zawiera ją ze Stripe, LLC, a każde inne, w tym polskie, ze Stripe Payments Europe, Limited.

8.2. Czego na tej liście nie ma

Vinted. Aplikacja nie łączy się z Vinted w żaden sposób: nie logujemy się tam, nie przechowujemy żadnych danych dostępowych do Vinted, nie pobieramy danych ze strony i nie publikujemy ogłoszeń. Wystawianie odbywa się ręcznie, przez Ciebie, na Twoim koncie. Aplikacja przygotowuje gotowe pola do skopiowania i tyle.

9. Przekazywanie danych poza Europejski Obszar Gospodarczy

Aplikacja jest uruchamiana w regionie Frankfurt (Niemcy), a baza danych działa w regionie eu-central-1 (również Frankfurt).

Część naszych dostawców to jednak podmioty amerykańskie albo należące do amerykańskich grup kapitałowych, więc dane mogą być przekazywane poza EOG lub być stamtąd dostępne.

Powiedzmy to wprost, zamiast chować za ogólnikiem: przy każdym z dostawców wymienionych w poniższej tabeli dochodzi do przekazania danych poza EOG albo do dostępu do nich spoza EOG. Wybór europejskiego regionu ogranicza to, ale nigdzie nie wyklucza.

Kopię zabezpieczeń, czyli treść standardowych klauzul umownych stosowanych wobec konkretnego dostawcy, udostępnimy Ci na żądanie wysłane na adres z punktu 1. Są one częścią publicznie dostępnych umów powierzenia wskazanych w punkcie 8.1.

Sprostowanie co do zdjęć. Wcześniejsza wersja tego dokumentu podawała, że zdjęcia leżą w Cloudflare R2 „w regionie Eastern Europe, czyli na terenie EOG". To było zbyt mocne stwierdzenie. Cloudflare nazywa ustawienie regionu podpowiedzią lokalizacji i zastrzega, że jest ona realizowana w miarę możliwości, a nie gwarantowana. Ustawiamy tę podpowiedź na Europę Wschodnią i to zmniejsza prawdopodobieństwo, że pliki wyjadą, ale nie jest gwarancją rezydencji danych w EOG.

Podobna pułapka przy poczcie. Resend pozwala wybrać region wysyłki, w tym Irlandię, co łatwo pomylić z przechowywaniem danych w Unii. To nie to samo: dane konta, treści wiadomości i logi doręczeń leżą w Stanach Zjednoczonych i nie ma dziś ustawienia, które by to zmieniło.

Aplikacja i baza działają w Europie. Kod uruchamiany jest w regionie Frankfurt, a baza w regionie eu-central-1, też Frankfurt. To ogranicza ruch danych, ale nie znosi powyższego: dostęp serwisowy, kopie zapasowe i wsparcie techniczne dostawców odbywają się spoza EOG.

10. Jak długo przechowujemy dane

Mówimy o tym otwarcie, bo obecny stan wymaga wyjaśnienia.

10.1. Stan faktyczny

Aplikacja nie ma dziś zadania czyszczącego, które kasowałoby dane samo z siebie. Nie ma progu wiekowego ani automatycznego usuwania po okresie nieaktywności. Do czasu, aż taki mechanizm powstanie, usunięcia wykonujemy ręcznie.

To nie znaczy, że dane leżą u nas bezterminowo. Obowiązują nas okresy przechowywania z punktu 10.4. Brak automatu oznacza tylko tyle, że pilnujemy ich ręcznie, a nie że ich nie ma. Po upływie okresu dane usuwamy, nawet jeśli o to nie poprosisz.

Jedyny mechanizm działający automatycznie dotyczy tokenów: partia tokenów wygasa dokładnie 365 dni od jej przyznania. Wygaśnięcie zeruje pozostałą liczbę tokenów i zostawia wpis w rejestrze operacji. Sam wpis w rejestrze zostaje.

10.2. Co możesz zrobić sam

• Usunąć pojedyncze zdjęcie, ale tylko na ekranie dostawy i tylko zanim para zostanie przeanalizowana. Zdjęcie znika wtedy również z magazynu plików. Jeśli usuniesz ostatnie zdjęcie takiej pary, znika także sama para.
• Wycofać z obiegu parę już przeanalizowaną (przycisk odrzucenia w Kolejce). Uczciwie: to zmienia status pary, ale niczego nie kasuje. Dane pary i jej zdjęcia zostają.
• Wyeksportować swoje dane do plików CSV (magazyn i sprzedaże).

Usunięcia danych pary, która przeszła już analizę, nie da się dziś wykonać samodzielnie. Realizujemy je ręcznie, na wniosek wysłany na kontakt@obuwio.app, tak samo jak usunięcie całego konta.

10.3. Usunięcie konta

W aplikacji nie ma dziś przycisku usuwającego konto. Nie chcemy udawać, że jest.

Żeby usunąć konto i powiązane z nim dane, napisz na kontakt@obuwio.app z adresu, na który konto jest założone. Usunięcie wykonujemy ręcznie.

Zanim usuniemy konto, wydamy Ci Twoje dane. Na Twoje żądanie przygotujemy komplet danych z konta razem z plikami zdjęć, w powszechnie używanym formacie nadającym się do odczytu maszynowego. Robimy to nieodpłatnie. Konto usuwamy dopiero po wydaniu Ci tej paczki albo po tym, jak wyraźnie z niej zrezygnujesz. Nie chcemy, żebyś stracił własne zdjęcia dlatego, że nie daliśmy Ci narzędzia do ich pobrania.

Dwa terminy, których nie należy mylić: na sam wniosek odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca (punkt 11.8). Faktyczne skasowanie danych to osobna sprawa:

Paczkę z danymi i zdjęciami przygotowujemy w ciągu 14 dni od zgłoszenia.

Konto usuwamy w ciągu 14 dni od potwierdzenia Twojej tożsamości, a jeżeli poprosiłeś o paczkę z danymi, to po jej wydaniu.

Zakres usunięcia. Usuwamy dane z bazy oraz pliki zdjęć w magazynie: najpierw plik, potem wpis w bazie, żeby w magazynie nie zostały obiekty bez odnośnika. Zostają wyłącznie te dane, których musimy nie usuwać, bo nakazują to przepisy podatkowe: dane sprzedaży, wystawień, kosztów i zakupów pakietów (punkt 10.4). Z kopii zapasowych bazy dane znikają nie od razu, bo kopie nadpisują się cyklicznie po stronie dostawcy bazy: ostatnia kopia zawierająca Twoje dane przestaje istnieć nie później niż w ciągu 30 dni od usunięcia konta. Nikt do tych kopii w tym czasie nie sięga poza odtwarzaniem awarii.

10.4. Jak długo trzymamy poszczególne kategorie danych

Zdjęcia i miniatury: 2 lata od wgrania. Dane par bez historii handlowej: 2 lata od utworzenia. Dane par, przy których doszło do sprzedaży albo zapisano koszt, oraz same dane sprzedaży, wystawień i kosztów: 5 lat licząc od końca roku podatkowego, w którym powstały, bo tego wymagają przepisy podatkowe. Dane transakcji zakupu pakietów i rejestr operacji na tokenach: 5 lat licząc od końca roku podatkowego. Zdarzenia z przekazanej poczty: 1 rok. Log wywołań modelu AI: 1 rok. Zakończone zadania z kolejki: 90 dni. Konta nieaktywne: 3 lata, przy czym przed usunięciem wysyłamy ostrzeżenie na adres e-mail przypisany do konta.

Powyższe okresy egzekwuje AUTOMATYCZNE ZADANIE, uruchamiane raz na dobę: kasuje ono zdjęcia, dane par bez historii handlowej, zdarzenia z poczty, log wywołań modelu AI i zakończone zadania z kolejki, którym minął termin. Zadanie celowo NIE usuwa par powiązanych ze sprzedażą albo kosztem: skasowanie takiej pary zabrałoby ze sobą dowody sprzedaży i kosztów, które musimy przechowywać przez okres podatkowy. Jedynym wyjątkiem od automatu są konta nieaktywne, usuwane ręcznie po wcześniejszym ostrzeżeniu.

11. Twoje prawa

Przysługują Ci następujące prawa. Każde z nich realizujesz, pisząc na kontakt@obuwio.app.

11.1. Prawo dostępu (art. 15 RODO)

Możesz dowiedzieć się, czy przetwarzamy Twoje dane, jakie to dane i skąd je mamy, oraz otrzymać ich kopię.

11.2. Prawo do sprostowania (art. 16 RODO)

Możesz poprawić dane nieprawidłowe lub uzupełnić niekompletne. Znaczną część danych (dane par butów, ceny, koszty, dane sprzedaży) poprawiasz samodzielnie w aplikacji.

Wyjątkiem są ustawienia konta (nazwa konta, maksymalny stan podawany w ogłoszeniu, próg grupowania zdjęć, minimalna marża, koszt opakowania, waluta, reguły obniżek). Dopóki nie ma dla nich ekranu w aplikacji, działają wartości domyślne, a zmieniamy je na Twoją prośbę wysłaną na kontakt@obuwio.app.

11.3. Prawo do usunięcia danych (art. 17 RODO)

Możesz żądać usunięcia danych. Samodzielnie usuniesz w aplikacji tylko zdjęcia pary, która nie została jeszcze przeanalizowana (patrz punkt 10.2). Usunięcie danych par już przeanalizowanych oraz całego konta realizujemy ręcznie, na Twój wniosek, w sposób opisany w punkcie 10.3.

Prawo to nie jest bezwzględne: możemy zachować dane, których przechowywanie nakazuje nam przepis prawa (np. dokumentacja rozliczeniowa) albo które są niezbędne do ustalenia lub obrony roszczeń.

11.4. Prawo do ograniczenia przetwarzania (art. 18 RODO)

Możesz żądać, żebyśmy dane wyłącznie przechowywali, nie robiąc z nimi nic więcej (na przykład na czas sprawdzania, czy są prawidłowe, albo rozpatrywania Twojego sprzeciwu).

11.5. Prawo do przenoszenia danych (art. 20 RODO)

Możesz otrzymać swoje dane w powszechnie używanym formacie nadającym się do odczytu maszynowego. Aplikacja udostępnia Ci samodzielny eksport do plików CSV: magazyn oraz sprzedaże.

Uczciwie: eksport CSV nie obejmuje wszystkiego. Nie zawiera na przykład plików zdjęć. Jeżeli potrzebujesz pełnego zestawu danych razem ze zdjęciami, napisz na kontakt@obuwio.app, a przygotujemy go nieodpłatnie, w powszechnie używanym formacie nadającym się do odczytu maszynowego.

Pełną paczkę przygotowujemy w ciągu 14 dni od zgłoszenia. To ten sam termin co przy usuwaniu konta (punkt 10.3) i celowo jedna liczba, żeby dokumenty się nie rozjeżdżały.

11.6. Prawo do sprzeciwu (art. 21 RODO)

Wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (punkty 5.9, 5.10 i 5.11) możesz w każdej chwili wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją. Przestaniemy wtedy przetwarzać te dane, chyba że wykażemy ważne, prawnie uzasadnione podstawy nadrzędne wobec Twoich interesów.

Jedynym przetwarzaniem w celach marketingowych są narzędzia reklamowe na stronach publicznych (punkt 5.14), działające wyłącznie za Twoją zgodą; po stronie Meta i Google może ono obejmować dobór reklam (sekcja 14). Sprzeciw wobec takiego marketingu (art. 21 ust. 2 RODO) realizujesz tak samo prosto, jak cofnięcie zgody: przez „Ustawienia cookies" w stopce strony głównej albo wiadomość na adres z sekcji 3. Przestajemy wtedy od razu.

11.7. Prawo do cofnięcia zgody

Na zgodzie (art. 6 ust. 1 lit. a RODO) opieramy jeden cel: narzędzia reklamowe na stronach publicznych (punkt 5.14). Zgodę cofasz równie łatwo, jak ją dajesz: „Ustawienia cookies" w stopce strony głównej otwiera baner ponownie, a wybór „Tylko niezbędne" wyłącza narzędzia od razu. Możesz też wyczyścić dane witryny w przeglądarce (ciasteczka i pamięć lokalną). Cofnięcie nie wpływa na zgodność z prawem przetwarzania sprzed cofnięcia. Pozostałych celów nie opieramy na zgodzie, więc nie ma tam czego cofać.

11.8. Termin odpowiedzi

Na każde żądanie odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca od jego otrzymania. Jeżeli sprawa okaże się skomplikowana, możemy przedłużyć ten termin o kolejne dwa miesiące. Powiadomimy Cię wtedy o przyczynie.

Możemy poprosić Cię o potwierdzenie tożsamości, jeśli będziemy mieli uzasadnione wątpliwości, kto składa wniosek. Nie chcemy wydać Twoich danych komuś, kto tylko podaje się za Ciebie.

12. Skarga do organu nadzorczego

Jeżeli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, masz prawo wnieść skargę do organu nadzorczego. W Polsce jest nim:

Prezes Urzędu Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa uodo.gov.pl

Możesz też wnieść skargę do organu nadzorczego w państwie swojego zwykłego pobytu lub miejsca pracy.

13. Pliki cookies i dane zapisywane w Twojej przeglądarce

13.1. Baner zgody dotyczy wyłącznie narzędzi reklamowych

W aplikacji po zalogowaniu nie używamy ciasteczek ani żadnych innych zapisów w Twojej przeglądarce do analityki, marketingu ani śledzenia. Na stronach publicznych (strona główna, ekran logowania, potwierdzenie zakupu, dokumenty prawne) możemy uruchomić Meta Pixel oraz Google Analytics i Google Ads, ale wyłącznie po Twojej zgodzie wyrażonej w banerze. Do tego momentu żaden z tych skryptów nie jest ładowany i żadne ich ciasteczko nie powstaje. Odmowa („Tylko niezbędne") jest równie łatwa jak zgoda, decyzję zmienisz przez „Ustawienia cookies" w stopce strony głównej, a po roku zapytamy ponownie. Cel i podstawa prawna w punkcie 5.14.

Mierzymy natomiast ruch na stronie sprzedażowej, korzystając z licznika odwiedzin Vercela. Piszemy o tym wprost, bo dokument ma wymieniać każdego odbiorcę danych. Ten licznik nie zapisuje niczego w Twojej przeglądarce: nie zakłada ciasteczka, nie korzysta z pamięci lokalnej i nie nadaje Ci żadnego identyfikatora, po którym dałoby się Cię rozpoznać przy kolejnej wizycie. Zbiera wyłącznie zbiorcze liczby: który adres strony był oglądany, z jakiego kraju, na jakim typie urządzenia i w jakiej przeglądarce. Nie budujemy z tego profilu i nie łączymy tych danych z Twoim kontem.

O zgodę na licznik odwiedzin Vercela nie prosimy dlatego, że przepisy o zapisach w urządzeniu końcowym dotyczą właśnie ZAPISÓW, a ten licznik niczego w Twoim urządzeniu nie zostawia. Pozostałe zapisy, które robimy poza narzędziami reklamowymi (ciasteczka, pamięć lokalna, baza w przeglądarce, pamięć podręczna stron), są niezbędne do świadczenia usługi, o którą sam prosisz, a to również zwalnia z obowiązku zgody: utrzymują sesję, dokańczają przerwaną wysyłkę zdjęć i pozwalają aplikacji działać bez sieci. Baner pyta więc tylko o jedno: narzędzia reklamowe.

13.2. Ciasteczka, których używamy

Najpierw te, bez których aplikacja nie działa (bez pytania o zgodę):

Poniższe pojawiają się wyłącznie po Twojej zgodzie w banerze i wyłącznie na stronach publicznych. Zakłada je narzędzie reklamowe, nie my; podane okresy to wartości domyślne tych narzędzi:

13.3. Co aplikacja zapisuje w pamięci Twojej przeglądarki

Poza ciasteczkami aplikacja korzysta z pamięci przeglądarki, żeby działać także przy słabym połączeniu. Te dane zostają na Twoim urządzeniu. Nie wysyłamy ich nigdzie poza tym, co opisano poniżej.

Pamięć lokalna (localStorage):

• obuwio_last_location: ostatnio wpisane przez Ciebie miejsce przechowywania pary, podpowiadane przy kolejnej. Jest to wyłącznie podpowiedź do formularza, zapisana na Twoim urządzeniu; usuniesz ją, czyszcząc dane witryny, a jej brak niczego w aplikacji nie blokuje. Odczytujemy też starszy klucz kicksly_last_location z czasów poprzedniej nazwy aplikacji.
• obuwio_sw_account: identyfikator konta, na którym ostatnio pracowałeś w tej przeglądarce. Służy do jednej rzeczy: jeśli na tym samym telefonie zaloguje się ktoś inny albo się wylogujesz, aplikacja wie, że musi wyczyścić pamięć podręczną stron.
• obuwio_zgoda: Twoja decyzja z banera (zgoda albo odmowa) i jej data, żebyśmy nie pytali przy każdym wejściu; po roku pytamy ponownie. Zapisujemy ją także przy odmowie, właśnie po to, żeby odmowy nie ponawiać.
• obuwio_zakup_<numer transakcji>: znacznik, że zdarzenie zakupu zostało już przekazane narzędziom reklamowym (punkt 5.14), żeby odświeżenie strony podziękowania nie policzyło zakupu drugi raz. Powstaje dopiero w chwili wysłania zdarzenia, czyli po zgodzie; bez zgody nie powstaje.

Baza w przeglądarce (IndexedDB, baza butsystem):

• Kolejka wysyłki zdjęć zawiera zmniejszone pliki zdjęć czekające na wysłanie, ich skrót SHA-256, czas wykonania i identyfikator konta. Dzięki temu przerwana wysyłka wznawia się po odzyskaniu zasięgu, a zamknięcie karty niczego nie gubi. Wpis znika po udanej wysyłce.
• Kolejka decyzji z ekranu Kolejki to Twoje zatwierdzenia i poprawki (tytuł, marka, model, rozmiar, kolor, materiał, stan, opis, kategoria, cena) czekające na wysłanie na serwer.

Pamięć podręczna stron (Cache API i Service Worker): aplikacja przechowuje pełne strony zalogowanego konta, żeby działały bez sieci. Zawierają one dane z Twojego konta (numery SKU, ceny, adresy zdjęć). Ta pamięć jest czyszczona przy wylogowaniu i przy zmianie konta na tym samym urządzeniu, właśnie po to, żeby offline nie pokazał komuś cudzych danych.

Wszystko powyższe możesz w każdej chwili usunąć, czyszcząc dane witryny w ustawieniach przeglądarki. Aplikacja działa też w trybie prywatnym, w którym część tych zapisów jest niemożliwa. Po prostu tracisz wtedy podpowiedzi i działanie bez sieci.

14. Zautomatyzowane decyzje i profilowanie

Nie podejmujemy wobec Ciebie zautomatyzowanych decyzji wywołujących skutki prawne ani w podobny sposób istotnie na Ciebie wpływających w rozumieniu art. 22 RODO. Nie profilujemy Cię.

Żeby jednak nie było niedomówień, bo aplikacja jednak korzysta z AI:

• Model AI analizuje zdjęcia butów, a nie Ciebie. Ocenia towar: rozpoznaje markę, model, rozmiar, kolor, materiał i stan, proponuje tytuł, opis, kategorię i podłogę cenową. Nie ocenia Twojej wiarygodności, zdolności kredytowej, zachowania ani żadnej cechy osobistej.
• Ostatnie słowo należy do Ciebie. Każde pole zatwierdzasz lub poprawiasz ręcznie, a potem sam kopiujesz je do formularza Vinted. Aplikacja niczego nie publikuje samodzielnie.
• Automatyczne jest natomiast rozliczenie tokenów: token schodzi po udanej analizie pary. Nie jest to jednak decyzja o Tobie w rozumieniu art. 22 RODO, tylko wykonanie umowy, dokładnie tak, jak się umawialiśmy przy zakupie pakietu. Token nie schodzi, gdy model uzna zdjęcia za nieczytelne. Przy pewnym duplikacie rozliczenie też czeka na Twoją decyzję; przy słabszym podejrzeniu token schodzi od razu i wraca na konto, gdy potwierdzisz, że to duplikat.
• Ograniczenia liczby zapytań (limity na minutę i na godzinę) mają charakter techniczny i chronią usługę przed przeciążeniem. Nie są oceną Twojej osoby i nie prowadzą do zablokowania konta.
• Nie stosujemy automatycznego blokowania kont ani scoringu użytkowników.
• Narzędzia reklamowe (tylko za zgodą, tylko strony publiczne) mogą po stronie Meta i Google przypisać Twoją przeglądarkę do grupy odbiorców, np. „odwiedził stronę, ale nie kupił", i pokazać Ci potem naszą reklamę. To profilowanie w celach reklamowych prowadzone przez te firmy według ich zasad; nie wywołuje wobec Ciebie skutków prawnych i nie jest decyzją w rozumieniu art. 22 RODO. Bez zgody nie ma go wcale.

15. Bezpieczeństwo danych

Środki, które faktycznie działają w aplikacji:

• Hasła tylko jako skrót: hasło jest opcjonalne, a jeśli je ustawisz, w bazie leży wyłącznie skrót scrypt z losową solą, celowo wolny w liczeniu, żeby zgadywanie haseł z wykradzionej bazy się nie opłacało. Logowanie działa też kontem Google albo jednorazowym linkiem ważnym 24 godziny.
• Rozdzielenie kont. Każdy rekord należy do konkretnego konta, a ścieżka pliku w magazynie zdjęć zawiera identyfikator konta, więc sama struktura wymusza rozdzielenie. Ciasteczko wyboru konta jest honorowane dopiero po sprawdzeniu w bazie, czy naprawdę do tego konta należysz.
• Zdjęcia nie są publicznie dostępne. Nie istnieje stały adres Twojego zdjęcia. Zarówno podgląd, jak i wysyłka odbywają się przez krótkotrwałe podpisane odnośniki (podgląd: godzina, wysyłka: dziesięć minut).
• Nagłówki bezpieczeństwa przy każdej odpowiedzi: polityka bezpieczeństwa treści bez zewnętrznych źródeł skryptów, wymuszenie HTTPS, zakaz osadzania strony w ramce, ograniczona polityka odsyłaczy oraz wyłączenie dostępu do kamery, mikrofonu, geolokalizacji, płatności i USB.
• Poczta przychodząca wymaga potwierdzenia autentyczności nadawcy (SPF albo DKIM) oraz sekretu współdzielonego z programem pośredniczącym. Adres odbiorczy jest losowy i można go w każdej chwili zmienić.
• Ograniczenia liczby zapytań na kluczowych punktach: płatność, wysyłka zdjęć, eksport, poczta przychodząca, analiza.
• Higiena logów: do logów nie trafiają treści wiadomości, adresy odbiorcze poczty ani sekrety.

Uczciwe zastrzeżenia:

• Tokeny wystawione przez Google przy logowaniu (punkt 4.1) są przechowywane w bazie danych i chronione kontrolą dostępu do bazy. Nie stosujemy dodatkowego szyfrowania na poziomie pojedynczych kolumn. Obejmują one wyłącznie zakres potrzebny do zalogowania Cię. Nie dają dostępu do Twojej poczty ani innych usług Google.
• Ograniczenia liczby zapytań działają w pamięci pojedynczej instancji serwera. Chronią przed zapętlonym klientem i tanimi próbami nadużycia; nie są zabezpieczeniem przed rozproszonym atakiem na dostępność.
• Żadne zabezpieczenie nie daje stuprocentowej gwarancji i nie będziemy udawać, że jest inaczej.

Szyfrowanie danych w spoczynku. Powołujemy się na nie, ale opisujemy je uczciwie: to cecha naszych dostawców, a nie nasza zasługa. Sprawdzone w ich dokumentacji 4 września 2026 r.:

• baza danych jest szyfrowana w spoczynku algorytmem AES-256, a kluczami zarządza usługa zarządzania kluczami dostawcy chmury, z rotacją i rejestrowaniem dostępu (neon.com/docs/security/security-overview);
• magazyn zdjęć szyfruje w spoczynku wszystkie obiekty razem z ich metadanymi, algorytmem AES-256 w trybie GCM, automatycznie i bez możliwości wyłączenia (developers.cloudflare.com/r2/reference/data-security/).

Nie stosujemy natomiast własnego szyfrowania na poziomie pojedynczych kolumn ani plików. Oznacza to, że dostawca dysponuje kluczami do swojej warstwy szyfrowania.

Co robimy, gdy dojdzie do naruszenia ochrony danych. Naruszenie zgłasza Prezesowi Urzędu Ochrony Danych Osobowych właściciel serwisu, w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw i wolności osób. Jeżeli naruszenie może powodować wysokie ryzyko naruszenia Twoich praw lub wolności, zawiadamiamy również Ciebie, bez zbędnej zwłoki, wiadomością na adres e-mail przypisany do konta: opisujemy, co się stało, jakie dane objęło i co możesz zrobić.

16. Wiek użytkowników

Z Obuwio mogą korzystać osoby, które ukończyły 16 lat. Nie weryfikujemy wieku technicznie, jest to warunek umowny. Osoba, która ukończyła 16 lat, a nie ukończyła 18, ma ograniczoną zdolność do czynności prawnych: samo korzystanie z Konta jest dla niej dostępne, ale do zakupu Pakietu potrzebuje zgody rodzica albo opiekuna.

17. Zmiany tej polityki

Możemy zmieniać ten dokument, na przykład gdy dojdzie nowy dostawca, zmieni się model AI albo pojawią się funkcje, których dziś nie ma (jak automatyczne usuwanie konta).

Jak Cię o tym uprzedzamy. O zmianach istotnych, czyli takich, przy których dochodzi nowy dostawca albo nowy cel przetwarzania, uprzedzamy wiadomością na adres e-mail przypisany do konta, z wyprzedzeniem 14 dni. Wyjątkiem są zmiany dotyczące wyłącznie narzędzi, które działają dopiero po Twojej odrębnej zgodzie na stronach publicznych (punkt 5.14): do niczego nie zobowiązują bez kliknięcia „Zgadzam się", więc publikujemy je bez uprzedzenia, z nową datą wersji na końcu dokumentu. Zmiany wyłącznie redakcyjne, które nie ruszają zakresu ani celu przetwarzania (poprawki językowe, doprecyzowania, aktualizacja nazwy dostawcy), publikujemy bez uprzedzenia, zmieniając datę pod dokumentem.

Data poniżej mówi, od kiedy obowiązuje ta wersja.

17.1. Gdzie ten dokument jest dostępny

Ten dokument ma sens tylko wtedy, gdy możesz go przeczytać zanim założysz konto i zanim zapłacisz. Jest opublikowany pod adresem https://obuwio.app/polityka-prywatnosci, a odnośnik do niego znajdziesz w stopce strony, na ekranie logowania oraz przy zakupie pakietu, obok obowiązkowego pola akceptacji.

W wiadomościach, które od nas dostajesz, odnośnika do tego dokumentu dziś nie ma. Po zakupie dołączamy jako plik regulamin, a nie tę politykę.

Wersja z dnia 7 września 2026 r.