Polityka prywatności aplikacji Dr. Drive (Android)

1. W skrócie

• Dr. Drive to planer tras wizyt domowych. Nie ma kont: nie podajesz imienia, e-maila ani hasła.
• Dane osób, które odwiedzasz (imię i nazwisko, telefon, adres, uwagi), są tylko w Twoim telefonie. Nie mam do nich dostępu.
• Do wyszukania adresu i wyznaczenia trasy mój serwer przekazuje do TomTom tylko adres albo współrzędne, bez imion, telefonów i uwag. Serwer nie trzyma tych danych w bazie ani w logach.
• „Prowadź” otwiera aplikację Google Maps z kolejnymi wizytami, do 9 naraz. Google dostaje współrzędne, a gdy ich brak – tekst z pola adresu.
• Serwer rozpoznaje instalację po losowym identyfikatorze, a subskrypcję po anonimowym identyfikatorze RevenueCat. Nie znam Twojego imienia ani e-maila, chyba że do mnie napiszesz.
• Za premium płacisz w Google Play. Nie widzę danych Twojej karty.
• Aplikacja nie ma reklam ani narzędzi analitycznych i nie wysyła mi raportów o awariach. Biblioteka Google, która rysuje mapę, zbiera jednak własne dane dla Google (pkt 5.3).
• Za dane pacjentów odpowiadasz Ty albo Twoja placówka (jako administrator). W zapytaniach map przetwarzam je na Twoje zlecenie, na podstawie umowy powierzenia.

Piszę „lekarz”, ale chodzi o każdą osobę, która używa Dr. Drive do wizyt domowych, np. pielęgniarkę albo fizjoterapeutę. Osoby odwiedzane nazywam „pacjentami”. Gdy odwiedzasz klientów, a nie pacjentów, te same zasady dotyczą ich danych.

2. Administrator i kontakt

Administratorem danych z pkt 4 jest Marek Maks, osoba fizyczna. Aplikację udostępniam w ramach działalności nierejestrowanej (art. 5 ust. 1 ustawy – Prawo przedsiębiorców).

• E-mail, także w sprawie danych, naruszeń i luk bezpieczeństwa: support@approject.dev
• Miejsce zamieszkania i adres: Traugutta 15, 36-200 Brzozów
• Telefon: +48 513 785 574

Nie wyznaczam inspektora ochrony danych, bo przy obecnej skali art. 37 ust. 1 RODO tego nie wymaga.

3. Moje role

4. Dane, które przetwarzam jako administrator

4.1. Identyfikator instalacji

• Co to jest: losowy ciąg znaków (UUID) tworzony przy pierwszym użyciu aplikacji. Nie zawiera informacji o Tobie ani o telefonie.
• Gdzie jest: w pamięci aplikacji w telefonie. Aplikacja dołącza go do każdego zapytania do mojego serwera. Nie trafia do TomTom ani do Google.
• Po co: ogranicza liczbę zapytań z jednej instalacji i chroni serwer przed nadużyciami. Służy też do jednorazowych 14 dni premium i do limitów, gdy aplikacja nie ma identyfikatora RevenueCat (pkt 4.3).
• Zapis na serwerze: w bazie i w logach nie ma samego identyfikatora. W bazie może się znaleźć tylko jego skrót (pkt 4.3). Licznik chwilowego limitu używa identyfikatora w oknie 60 sekund.
• Nowy identyfikator powstaje po odinstalowaniu aplikacji albo wyczyszczeniu jej danych.

4.2. Subskrypcja premium: RevenueCat i Google Play

• Identyfikator RevenueCat: anonimowy identyfikator klienta tworzony w telefonie przez bibliotekę RevenueCat. Nie zawiera imienia ani e-maila.
• Co dostaje RevenueCat: ten identyfikator, dane zakupu z Google Play (produkt i plan, daty zakupu, odnowienia i końca, cenę i walutę, kraj sklepu, stan subskrypcji, token zakupu), język i walutę urządzenia oraz dane techniczne połączenia. RevenueCat podaje, że adresu IP nie przechowuje: ustala z niego kraj i go usuwa.
• Po co: zakup i odnawianie subskrypcji, sprawdzenie, czy masz premium, przywrócenie zakupu po ponownej instalacji albo na innym telefonie z tym samym kontem Google, nadanie 14 dni premium.
• Co robi mój serwer: dostaje identyfikator RevenueCat przy zapytaniach map i premium, pyta RevenueCat, czy masz premium, i zapamiętuje wynik: skrót identyfikatora (SHA-256), czy premium jest aktywne, czy to okres próbny, datę końca i czas sprawdzenia. Skrót to pseudonim, czyli nadal dane osobowe (motyw 26 RODO).
• Co widzę w panelu RevenueCat: klientów pod anonimowymi identyfikatorami, ich zakupy i zestawienia sprzedaży. Nie łączę tego z niczym, co pozwala Cię rozpoznać, chyba że podasz mi numer zamówienia.
• Google Play: płatnością, kontem Google i danymi karty zajmuje się Google. Mnie przekazuje dane zamówień potrzebne do rozliczeń, np. numer zamówienia, produkt, cenę, datę i kraj.
• „Przywróć zakupy” przypisuje zakup z Twojego konta Google Play do identyfikatora RevenueCat tej instalacji.
• Źródło danych: identyfikator powstaje w aplikacji, dane zakupów przekazuje Google Play (art. 14 ust. 2 lit. f RODO).

4.3. Limity i okres próbny

• Wersja darmowa: do 60 wyszukiwań adresów na dobę. Premium: do 400 wyszukiwań na dobę.
• Serwer liczy wyszukiwania osobno dla każdego klienta. Kluczem jest skrót identyfikatora RevenueCat, a gdy aplikacja go nie wyśle – skrót identyfikatora instalacji.
• 14 dni premium bez karty serwer przyznaje raz na klienta RevenueCat i raz na instalację. Zapisuje skróty obu identyfikatorów, datę przyznania i datę końca, a w RevenueCat nadaje uprawnienie promocyjne. Po 14 dniach aplikacja wraca do wersji darmowej. Nic nie jest pobierane.
• Poza tym baza serwera ma tylko zbiorcze liczniki całej usługi (np. ile wyszukiwań wykonano dziś), bez identyfikatorów.

4.4. Dane połączenia, logi i raporty błędów serwera

• Dane połączenia: każde połączenie ujawnia adres IP telefonu i nagłówki techniczne (np. wersję Androida i model telefonu). Przetwarza je Cloudflare, żeby dostarczyć zapytanie i chronić sieć. Mój kod ich nie zapisuje.
• Log serwera: linia na każde zapytanie: metoda, rodzaj ścieżki (np. /v1/maps/route), kod odpowiedzi, losowy numer zapytania i czas obsługi, a przy błędzie także jego rodzaj. Bez adresu IP, identyfikatorów, adresów i współrzędnych. Automatyczne logi Cloudflare z pełnym adresem zapytania są wyłączone.
• Statystyki Cloudflare: zbiorcze, np. liczba zapytań, błędów i czas działania.
• Raporty błędów (Sentry): przy błędzie serwera: rodzaj błędu, numer zapytania, czas i wersja serwera. Filtr usuwa adres IP, treść zapytań, nagłówki, e-maile, tokeny i współrzędne tras. Gdy TomTom albo RevenueCat zwróci błąd albo nie odpowie, raport może zawierać odpowiednio adres użyty w tym zapytaniu albo anonimowy identyfikator RevenueCat, bo są częścią adresu internetowego tych usług.

4.5. Twoja pozycja i adres domu w zapytaniach map

Gdy włączysz GPS w aplikacji, Twoja bieżąca pozycja służy jako start trasy dnia i punkt odniesienia przy wyszukiwaniu adresu. Trafia przez mój serwer do TomTom razem z zapytaniem (pkt 5.2). Serwer jej nie zapisuje. Aplikacja trzyma tylko ostatnią pozycję w pamięci, nie zapisuje historii lokalizacji i nie używa lokalizacji w tle.

Adres domu, jeśli go podasz, jest zapisany w telefonie i domyślnie służy jako meta dnia, a bez GPS także jako start. Jego współrzędne trafiają przez mój serwer do TomTom tak samo jak punkty wizyt.

4.6. Google Play: statystyki, opinie, test zamknięty

• Statystyki i stabilność: Google Play pokazuje mi zbiorcze statystyki (instalacje, kraje, modele telefonów, wersje Androida) i raporty awarii, które Google zbiera od osób zgadzających się w Androidzie na wysyłanie danych diagnostycznych. Nie łączę ich z identyfikatorami.
• Opinie: widzę nazwę wyświetlaną, ocenę, treść i dane o urządzeniu, które pokazuje Google. Mogę odpowiedzieć publicznie.
• Test zamknięty: adres e-mail konta Google, który mi podasz, wpisuję na listę testerów w konsoli Google Play.

4.7. Korespondencja

• Gdy do mnie piszesz, widzę adres e-mail, treść i załączniki. Używam ich do odpowiedzi, rozpatrzenia reklamacji albo zgłoszenia błędu lub luki bezpieczeństwa.
• W sprawie zakupu podaj numer zamówienia Google Play (zaczyna się od „GPA.”).
• Nie wysyłaj mi danych pacjentów: zrzutów ekranu z listą ani plików importu.

4.8. Cele i podstawy prawne

Nie opieram przetwarzania na zgodzie. Nie podejmuję decyzji wyłącznie automatycznych, które wywołują wobec Ciebie skutki prawne albo w podobny sposób istotnie na Ciebie wpływają (art. 22 RODO). Limity działają automatycznie, ale tylko liczą zapytania.

5. Dane pacjentów

5.1. Dane w telefonie: administratorem jest lekarz albo placówka

• Co jest w telefonie: imię i nazwisko (etykieta osoby), telefon, adres, uwagi, termin i przewidywany czas wizyty, status, godziny przyjazdu i zakończenia, współrzędne, kolejność dnia.
• Gdzie: w lokalnej bazie aplikacji, w katalogu wyłączonym z kopii zapasowej. Aplikacja ma wyłączone kopie zapasowe. Nie ma synchronizacji ani kopii na moim serwerze. Współrzędne z TomTom i przebieg tras są tylko w pamięci, do zamknięcia aplikacji. W bazie zostają dystanse i czasy odcinków.
• Import: pliki CSV i XLSX oraz wklejony tekst są czytane w telefonie. Zdjęcie zrobione do importu leży chwilowo w pamięci podręcznej aplikacji i jest usuwane po wczytaniu. Odczyt tekstu ze zdjęć (OCR) jest wyłączony.
• Usuwanie: Ustawienia → „Usuń wszystkie osoby i wizyty” albo odinstalowanie aplikacji. Aplikacja nie usuwa zakończonych wizyt sama. Robi to lekarz.
• Ochrona: aplikacja nie ma własnej blokady (PIN, odcisk palca). Dane chroni blokada ekranu i szyfrowanie telefonu.
• Kto decyduje: lekarz we własnej praktyce albo placówka (pracownik, zleceniobiorca, zwykle też kontrakt B2B). Podstawą są przepisy o udzielaniu świadczeń: art. 6 ust. 1 lit. b, c albo e oraz art. 9 ust. 2 lit. h i ust. 3 RODO. Zgoda pacjenta nie jest potrzebna.
• Nie mam dostępu do tych danych i nie mogę ich odczytać ani odtworzyć.

5.2. Zapytania map przez mój serwer: przetwarzam na zlecenie lekarza

Wyszukiwanie adresów, trasa dnia, kolejność wizyt i zdarzenia drogowe działają przez mój serwer na Cloudflare, który pyta TomTom. Klucz TomTom jest tylko na serwerze.

• Co przekazuję do TomTom:
  • tekst adresu do wyszukania, bez „ul.” i bez numeru lokalu w typowych zapisach (np. „12/4”, „m. 4”, „lok. 3”); inne dopiski z pola adresu też tam trafiają,
  • punkt odniesienia wyszukiwania (Twoja pozycja, 5 miejsc po przecinku),
  • współrzędne punktów trasy: start, wizyty i meta (6 miejsc po przecinku),
  • prostokąt obszaru, dla którego pobieram zdarzenia drogowe.
• Czego nie przekazuję: imion, nazwisk, telefonów, uwag, terminów, statusów, identyfikatorów ani adresu IP telefonu. TomTom widzi zapytanie jako pochodzące z mojego serwera.
• Serwer: między telefonem a serwerem dane są w treści zapytania, nie w adresie URL. Mój kod nie zapisuje zapytań ani odpowiedzi: nie trafiają do bazy, pamięci podręcznej ani logów. Wyjątek opisuje pkt 4.4 (raport o błędzie TomTom).
• TomTom: używam serwera w UE, a TomTom przetwarza tam zapytania. TomTom przechowuje metadane zapytań, w tym ścieżkę zapytania z adresem albo współrzędnymi, do 90 dni, dla bezpieczeństwa i usuwania błędów. Warunki TomTom pozwalają mu używać danych zbiorczych i zanonimizowanych do analiz i ulepszania usług.
• Umowa powierzenia: przetwarzam te dane na podstawie umowy powierzenia (art. 28 ust. 3 RODO), którą lekarz albo placówka zawiera ze mną razem z regulaminem. Opisuje ona moje obowiązki i dalsze podmioty przetwarzające.
• Po zakończeniu korzystania na serwerze nie ma czego usuwać ani zwracać, bo zapytań map nie przechowuję. Raporty błędów znikają po 30 dniach, a kopie u TomTom wygasają w jego terminie (do 90 dni).

5.3. Google: odrębny administrator

• Mapa w aplikacji (karta „Trasa”): rysuje ją biblioteka Google. Pinezki i linie rysuje telefon. Google podaje, że ta biblioteka sama zbiera dane o urządzeniu, raporty awarii, adres IP, lokalizację, działania na mapie i okresowo zmieniany identyfikator. Używa ich m.in. do informacji o ruchu i ulepszania swoich usług.
• Google Maps („Prowadź”): aplikacja otwiera link z najwyżej 9 celami. Cele są podane jako współrzędne, a gdy ich brak – jako tekst z pola adresu, także z numerem lokalu. Google Maps działa wtedy na Twoim koncie Google. Przy włączonej historii trasy mogą zostać zapisane na koncie.
• Prowadzenia zakręt po zakręcie w aplikacji ani formatu Android Auto w tej wersji nie ma. Gdy je dodam, uzupełnię tę politykę.
• Google działa tu na własnych zasadach jako odrębny administrator. Ja nie dostaję tych danych. Polityka prywatności Google.

6. Odbiorcy danych

Dostawcy korzystają z własnych podwykonawców z list publikowanych na ich stronach.

7. Przekazywanie danych poza Europejski Obszar Gospodarczy

Kopię zabezpieczeń wyślę na prośbę przesłaną na support@approject.dev (art. 13 ust. 1 lit. f RODO).

8. Jak długo przechowuję dane

9. Czego nie robię

• Nie prowadzę kont ani logowania.
• Aplikacja nie ma reklam ani narzędzi analitycznych, nie odczytuje identyfikatora reklamowego i nie wysyła mi raportów o awariach.
• Nie zapisuję historii Twojej lokalizacji.
• Nie sprzedaję danych, nie używam ich do marketingu ani do profilowania.
• Nie wysyłam do map ani do Google imion, nazwisk, telefonów ani uwag.

Musisz jednak wiedzieć o dwóch rzeczach. Biblioteka Google, która rysuje mapę, sama wysyła Google dane diagnostyczne i dane o użyciu (pkt 5.3). RevenueCat i Google Play pokazują mi zestawienia sprzedaży i statystyki (pkt 4.2 i 4.6).

10. Twoje prawa

Masz prawo do:

• dostępu do danych i ich kopii (art. 15 RODO),
• sprostowania (art. 16),
• usunięcia (art. 17), z wyjątkiem danych, które muszę przechowywać, np. do podatków (art. 17 ust. 3 lit. b),
• ograniczenia przetwarzania (art. 18),
• przeniesienia danych przetwarzanych na podstawie umowy (art. 20),
• skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl (art. 77 RODO).

Prawo sprzeciwu (art. 21 RODO). W każdej chwili możesz się sprzeciwić przetwarzaniu Twoich danych na podstawie mojego prawnie uzasadnionego interesu: limitów, ochrony przed nadużyciami, logów, raportów błędów, statystyk i korespondencji. Przestanę je przetwarzać, chyba że wykażę ważne prawnie uzasadnione podstawy, nadrzędne wobec Twoich interesów, praw i wolności, albo podstawy do ustalenia, dochodzenia lub obrony roszczeń.

Jak skorzystać z praw. Napisz na support@approject.dev. Nie ma kont, więc nie wiem, które dane są Twoje. W sprawach zakupów podaj numer zamówienia Google Play. Bez niego mogę nie być w stanie Cię rozpoznać (art. 11 ust. 2 RODO). Odpowiem w ciągu miesiąca. W trudnych sprawach termin może się wydłużyć o dwa miesiące. Wtedy Cię uprzedzę (art. 12 ust. 3 RODO). Szczegóły: Twoje dane.

Co możesz zrobić samodzielnie. Usunąć dane pacjentów w aplikacji, wyczyścić dane aplikacji albo ją odinstalować. Znikają wtedy dane z telefonu i identyfikatory. Subskrypcję anulujesz w Google Play: usunięcie aplikacji ani danych jej nie anuluje.

Czy musisz podawać dane. Nie. Identyfikatory tworzy aplikacja. Bez nich nie działają funkcje serwera (mapy, premium), a bez zakupu w Google Play nie dostaniesz premium. Lista osób i wizyt działa w telefonie bez serwera.

Prawa wobec danych przetwarzanych przez Google realizujesz u Google.

11. Informacje zapisywane w telefonie

Aplikacja zapisuje w pamięci telefonu: bazę osób i wizyt, ustawienia, licznik zapytań map, identyfikator instalacji, ostatnią konfigurację z serwera oraz dane biblioteki RevenueCat (identyfikator, stan subskrypcji). Bez tego usługa, z której korzystasz, nie działa, dlatego aplikacja nie prosi o zgodę (art. 399 ust. 3 pkt 2 ustawy z 12 lipca 2024 r. – Prawo komunikacji elektronicznej). Biblioteki Google zapisują w telefonie własne dane na zasadach Google.

12. Zabezpieczenia

• Połączenia z serwerem i z dostawcami są szyfrowane (HTTPS).
• Klucz TomTom i tajny klucz RevenueCat są tylko na serwerze. Klucz Google do mapy musi być w aplikacji (wymóg Google). Jest ograniczony do aplikacji Dr. Drive i jej podpisu i ma dzienny limit.
• Serwer sprawdza każde zapytanie, ogranicza liczbę zapytań i filtruje raporty błędów.
• Baza aplikacji jest wyłączona z kopii zapasowych.

13. Informacja dla pacjentów

Jeśli osoba, która przyjeżdża do Ciebie na wizytę, planuje ją w Dr. Drive, administratorem Twoich danych jest ta osoba (własna praktyka) albo placówka, dla której pracuje. Z prawa dostępu, sprostowania albo usunięcia danych korzystasz u niej.

Nie mam dostępu do danych w jej telefonie. Mój serwer nie wie, czyj adres jest w zapytaniu, i nie przechowuje zapytań, więc nie mogę samodzielnie ustalić, czy chodzi o Twoje dane. Jeśli do mnie napiszesz, wyjaśnię, jak działa aplikacja, i pomogę lekarzowi albo placówce odpowiedzieć na Twoje żądanie (art. 28 ust. 3 lit. e RODO).

14. Dla lekarza i placówki: obowiązki administratora danych pacjentów

Lista pacjentów wizyt domowych to dane dotyczące zdrowia (art. 4 pkt 15 i motyw 35 RODO) objęte tajemnicą zawodową. Dr. Drive to tylko narzędzie. Obowiązki wobec pacjentów ma administrator, czyli Ty albo Twoja placówka. Poniżej minimum.

1. Ustal, kto jest administratorem: Ty we własnej praktyce albo placówka (etat, zlecenie, zwykle kontrakt B2B). Pracując dla placówki, używaj aplikacji tylko za jej zgodą i z jej upoważnieniem (art. 4 pkt 7 i art. 29 RODO).
2. Przetwarzaj dane na podstawie przepisów, a nie zgody pacjenta: art. 6 ust. 1 lit. b, c albo e i art. 9 ust. 2 lit. h w związku z ust. 3 RODO.
3. Zawrzyj ze mną umowę powierzenia. Obejmuje ona też zgodę na dalsze podmioty przetwarzające (art. 28 RODO).
4. Dopisz do rejestru czynności przetwarzania czynność „planowanie i logistyka wizyt domowych” (art. 30 ust. 1 RODO).
5. Uzupełnij klauzulę informacyjną dla pacjentów: kopia robocza w telefonie, odbiorcy (ja jako podmiot przetwarzający, Cloudflare, TomTom, Sentry; Google w Google Maps), przekazywanie poza EOG, czas przechowywania (art. 13–14 RODO).
6. Zabezpiecz telefon: blokada ekranu, aktualny system, lokalizator z możliwością zdalnego wymazania. Nie udostępniaj telefonu domownikom (art. 32 RODO).
7. Wpisuj tylko to, co potrzebne do dojazdu i wizyty. W uwagach nie wpisuj rozpoznań ani leków. W polu adresu wpisuj tylko adres, bo dopiski trafią do TomTom (art. 5 ust. 1 lit. c RODO).
8. Usuwaj zakończone wizyty i osoby bez kolejnych wizyt, bo aplikacja nie robi tego sama. Przy zmianie telefonu albo końcu współpracy użyj „Usuń wszystkie osoby i wizyty” (art. 5 ust. 1 lit. e RODO).
9. Nie pokazuj danych osobom nieuprawnionym i nie rób zrzutów ekranu z listą (tajemnica zawodowa).
10. Po zgubieniu albo kradzieży telefonu oceń ryzyko. W razie potrzeby zgłoś naruszenie Prezesowi UODO w ciągu 72 godzin. Każde zdarzenie wpisz do rejestru naruszeń (art. 33 RODO).
11. Oceń, czy potrzebna jest ocena skutków dla ochrony danych (art. 35 RODO).
12. Odpowiadaj na żądania pacjentów w ciągu miesiąca. Przy zapytaniach map pomogę (art. 12 ust. 3 i art. 15–21 RODO).
13. Nie wysyłaj mi danych pacjentów: zrzutów ekranu ani plików importu. Błędy zgłaszaj na danych zmyślonych.
14. Pamiętaj, że w Google Maps Google jest odrębnym administratorem. Na koncie Google używanym w pracy rozważ wyłączenie historii lokalizacji.

15. Zmiany polityki

Datę i wersję podaję na górze. O istotnej zmianie (nowe dane, nowy odbiorca, nowy cel) poinformuję w aplikacji albo w opisie aktualizacji w Google Play, zanim zacznie obowiązywać. Lekarzy uprzedzę z wyprzedzeniem, bo zmiana dalszego podmiotu przetwarzającego daje im prawo sprzeciwu (art. 28 ust. 2 RODO). Poprzednie wersje wyślę na prośbę.

Ta wersja dotyczy aplikacji na Androida. Wersję na iPhone'a opiszę przed jej udostępnieniem.