Wszystkie dokumenty prawne

POLITYKA PRYWATNOŚCI

Globalna informacja o ochronie danych i prywatności

Data wejścia w życie: 17 października 2026

Usługa prowadzona przez: DigitalFreedom — markę DigitalFreedom Global LLC

Administrator danych (podmiot prawny):
DigitalFreedom Global LLC (działająca pod marką DigitalFreedom)
30 N Gould St, Ste N
Sheridan, WY 82801
Stany Zjednoczone

Kontakt (ogólny): hello@digitalfreedom.co.za
Kontakt (ochrona danych): data-protection@digitalfreedom.co.za
Formularz wniosków dotyczących ochrony danych: https://data-protection.digitalfreedom.co.za
Strona internetowa: https://digitalfreedom.co.za

0. CO NINIEJSZA POLITYKA OZNACZA DLA MACBUSINESSSUITE — INFORMACJA DOTYCZĄCA APLIKACJI

Niniejsza Polityka prywatności jest wspólną polityką każdej usługi DigitalFreedom i opisuje każdą operację przetwarzania, która występuje gdziekolwiek w tym portfolio. Niniejszy punkt określa, które z nich faktycznie występują w MacBusinessSuite, tak aby poniższe punkty ogólne były prawidłowo odczytywane w odniesieniu do tej aplikacji. Tam, gdzie punkt ogólny opisuje coś, co nie ma miejsca w MacBusinessSuite, niniejszy punkt to stwierdza; tekst ogólny nie zostaje przez to osłabiony w odniesieniu do żadnej innej usługi.

Czym jest MacBusinessSuite. Natywna aplikacja macOS do fakturowania i administracji biznesowej (klienci, dokumenty, podatki, e-fakturowanie, archiwizacja PDF/A, płatności, rejestracja czasu). Jest sprzedawana wyłącznie przez Mac App Store jako subskrypcja roczna. Nie istnieje wersja na Google Play.

Dane lokalne, bez konta aplikacji. Nie ma rejestracji ani logowania. Profile firm, klienci, dokumenty, płatności, czas i ustawienia są przechowywane na Macu, chronione przez macOS, a dane bankowe także szyfrowaniem pól. DigitalFreedom Global LLC nie zapewnia ich przechowywania ani synchronizacji w chmurze. Poniższe usługi zewnętrzne i zgłoszenia wsparcia są odrębnymi operacjami przetwarzania. Kopie powstają w wybranej lokalizacji. Usunięcie aplikacji nie gwarantuje usunięcia kontenera, eksportów i kopii; w razie potrzeby należy usunąć je osobno.

Dane firmowe. Kontrolują Państwo lokalne przetwarzanie i pozostają administratorem danych klientów, gdy przewiduje to właściwe prawo. Dane nie są automatycznie przesyłane do DigitalFreedom Global LLC. Informacje zawarte w zgłoszeniach wsparcia są odbierane i przetwarzane w celu udzielenia pomocy.

Usługi sieciowe. Aplikacja korzysta z poniższych usług. Synchronizację skonfigurowanych kont systemowych opisano poniżej przy dostępie do urządzenia.

Opcjonalne lokalne sugestie Apple. Systemowy model językowy lokalnie przetwarza opisy czynności, rozpoznany tekst otrzymanych dokumentów do sugestii pól, treść maili towarzyszących dokumentom i szkice zgłoszeń. Tekst nie opuszcza Maca na potrzeby tych funkcji i nie jest potrzebny klucz API. Wymagane są tryb Apple, macOS 26 lub nowszy, zgodny sprzęt, włączone Apple Intelligence i dostępny model. Początkowo tryb jest wyłączony; brak lub błąd przetwarzania lokalnego nigdy nie uruchamia usługi chmurowej. Sugestie dokumentów otrzymanych, maili i zgłoszeń nie używają OpenAI. OpenAI jest dostępne osobno tylko dla opisów czynności, z własnym kluczem i wyraźną zgodą; wszystkie informacje wpisane w ten tekst są przesyłane. Zob. informację o przejrzystości.

Rozpoznawanie na urządzeniu. Odczytywanie tekstu ze skanowanych lub fotografowanych dokumentów w skrzynce odbiorczej korzysta z frameworka rozpoznawania tekstu Apple na Państwa Macu (Vision). Jest to uczenie maszynowe działające w całości na urządzeniu; w tym celu żaden obraz ani tekst nie opuszcza Maca i nie uczestniczy żaden zewnętrzny dostawca. Kamera jest używana wyłącznie podczas skanowania kodu kreskowego, a klatki nie są zapisywane ani przesyłane.

Dostęp do urządzenia i integracje (§§ 3.4, 3.5 i 8b).

• Powiadomienia lokalne: opcjonalne przypomnienia i działania pozwalające zamknąć lub odroczyć zgłoszenie, zapisać lub przełożyć dalszy kontakt albo otworzyć fakturę. Brak zdalnego tokena push. Systemowy filtr trybu skupienia może wyciszyć przypomnienia lub ograniczyć je do jednej firmy; stan pozostaje lokalny.
• Kalendarz i Przypomnienia: opcjonalny pełny dostęp EventKit do odzwierciedlania i aktualizacji terminów w osobnych kalendarzach i listach oraz odczytu spotkań, tytułów i uczestników do sugestii czasu. Dostawcy skonfigurowanych kont systemowych mogą synchronizować te wpisy.
• Kontakty: import wybranych kontaktów lub jawny zapis klienta jako kontaktu. Skonfigurowane konto może synchronizować zmiany.
• Blokada i pęk kluczy: opcjonalne uwierzytelnianie Touch ID lub hasłem systemowym zwraca tylko wynik, nigdy wzorce biometryczne. Hasła poczty, opcjonalny klucz OpenAI i klucze szyfrowania są w pęku kluczy macOS.
• Widżety: grupa group.za.co.digitalfreedom.MacBusinessSuite udostępnia widget-snapshot.json z podsumowaniem aktywnej firmy, terminami i bieżącym pomiarem czasu, bez bazy danych, dokumentów i danych logowania. Blokada ukrywa liczby i szczegóły z wyjątkiem trybu samych liczb, który pozwala wyświetlać liczby i stan pomiaru bez nazw, tytułów i pojedynczych wierszy także przy aktywnej blokadzie.
• Spotlight: dane firmowe są automatycznie indeksowane lokalnie z odnośnikami do aplikacji; nie są wysyłane na serwer dewelopera.
• Automatyzacja: przychodzące polecenia skryptów stosują te same walidacje i polecenia zapisu co interfejs. Aplikacja nie wysyła poleceń automatyzacji do innych aplikacji.

Kategorie i zakres. Brak śledzenia, reklam oraz SDK analityki, raportowania awarii czy atrybucji instalacji. Manifest wskazuje OtherUserContent i CustomerSupport, powiązane z użytkownikiem dla funkcjonalności aplikacji: opisy czynności przesyłane przez identyfikowalne konto OpenAI oraz informacje zgłoszone do wsparcia. Mogą zawierać podane przez Państwa dane osobowe lub firmowe. Opcjonalność nie zwalnia ogólnie z obowiązku ujawnienia. Dane lokalne, integracje systemowe i Państwa poczta nie stanowią zbierania danych przez dewelopera. Nie ma synchronizacji z chmurą dewelopera; konta systemowe mogą synchronizować jak opisano wyżej. § 12 dotyczy plików cookie i śledzenia witryny, nie funkcji śledzącej aplikacji natywnej.

§ 3 nie oznacza zbierania kont aplikacji, danych użycia, analiz ani dzienników diagnostycznych. Dotyczy natomiast przekazanej korespondencji i danych wsparcia, zewnętrznej obróbki tekstu oraz zakupów Apple. Dostawcy z § 6.1.1 obsługujący pocztę, hosting wsparcia i kopie serwerów, w tym Storj, mogą przetwarzać zgłoszone dane wsparcia; nadal obowiązują informacje o transferach i niezrealizowanych zabezpieczeniach z § 7. Nie otrzymują automatycznie lokalnej bazy. OpenAI używa Państwa konta zamiast konta dostawcy opisanego w ogólnej polityce; RevenueCat nie jest używany. Retencja wsparcia (§ 8) obowiązuje; nie ma retencji ani usuwania kont aplikacji (§ 13.5). Powiadomienia o naruszeniach pocztą (§ 9.1) wymagają znanego adresu, np. ze zgłoszenia wsparcia. § 13.2 obejmuje lokalne sugestie i zewnętrzną obróbkę opisów z osobną zgodą; obowiązują warunki retencji Państwa konta OpenAI.

Dorośli odbiorcy i wybory. Zgodnie z Warunkami MacBusinessSuite jest przeznaczona dla osób dorosłych w wieku co najmniej 18 lat. Aplikacja nie pyta o przedział wiekowy ani datę urodzenia i nie weryfikuje wieku. Niezbędne lokalne przetwarzanie jest wyjaśnione przy wdrożeniu, osobno od wyraźnej akceptacji Warunków. Pomoc Apple na urządzeniu jest wyborem opcjonalnej funkcji lokalnej. Tylko zewnętrzne przetwarzanie OpenAI wymaga osobnej, wersjonowanej zgody OpenAI, którą można wycofać w dowolnym momencie w Ustawienia → Informacje prawne i prywatność. Odmowa lub wycofanie pozostawia dostępne funkcje lokalne, w tym osobno wybraną pomoc Apple.

Mieszkańcy Kalifornii: informacja w momencie gromadzenia (§ 17.4) jest również dostępna jako osobna strona w Ustawienia → Informacje prawne i prywatność.

Wersja. Wersja niniejszej Polityki oraz informacji dotyczącej aplikacji, którą Państwo czytają, jest wyświetlana w Ustawienia → Informacje prawne i prywatność, wraz z wersjami wszystkich pozostałych tekstów prawnych w aplikacji. Wise Business / Mercury. Opcjonalny dostęp bankowy odbywa się bezpośrednio w Wise lub Mercury przez Twoje konto: przesyłane są token dostępu, identyfikatory firmy i rachunków, żądane okresy oraz dane połączenia. Aplikacja otrzymuje dane wybranych rachunków i transakcji, w tym kwoty, daty, kontrahentów i referencje. Połączenie nie przechodzi przez serwer DigitalFreedom. Token pozostaje w pęku kluczy macOS. Aplikacja łączy się bezpośrednio z bankiem i zapisuje transakcje lokalnie. Aktualizacje działają tylko przy otwartej i odblokowanej aplikacji. Można je wyłączyć w dowolnym momencie. Wyświetlane są tylko profile firmowe. Prywatne salda i wyciągi nie są pobierane. Rozłączenie usuwa lokalny token i zatrzymuje aktualizacje. Zaimportowane transakcje pozostają. W razie potrzeby odwołaj token również w ustawieniach banku.

1. WPROWADZENIE

Niniejsza Polityka prywatności wyjaśnia, w jaki sposób DigitalFreedom (marka DigitalFreedom Global LLC, łącznie „my”, „nas”, „nasz”) gromadzi, wykorzystuje, przechowuje i chroni Państwa dane osobowe podczas korzystania z naszych aplikacji, oprogramowania, stron internetowych i powiązanych usług („Usługi”).

1.1 Zasięg globalny

Nasze aplikacje są dystrybuowane za pośrednictwem Apple App Store i Google Play Store, a zatem są udostępniane w każdym kraju i na każdym terytorium obsługiwanym przez te platformy. Niniejsza Polityka prywatności ma zastosowanie globalnie do wszystkich użytkowników Usług, niezależnie od kraju, w którym Usługa jest pobierana, otwierana lub używana.

1.2 RODO jako globalny standard bazowy

Przyjmujemy ogólne rozporządzenie o ochronie danych Unii Europejskiej (RODO) oraz powiązane prawo UE o ochronie danych jako standard bazowy i stosujemy je jako globalny poziom minimalny — każdy użytkownik, w każdym kraju, korzysta co najmniej z ochrony na poziomie RODO określonej w niniejszej Polityce. Dodatkowo respektujemy i przestrzegamy wszelkiego mającego zastosowanie lokalnego prawa o ochronie danych jurysdykcji użytkownika, a tam, gdzie to prawo lokalne zapewnia użytkownikowi dalej idącą ochronę, stosuje się standard bardziej ochronny.

Zobowiązujemy się do ochrony Państwa prywatności i przestrzegania mających zastosowanie przepisów o ochronie danych, w tym między innymi:

• ogólnego rozporządzenia o ochronie danych UE (RODO) — stosowanego jako globalny standard bazowy
• niemieckiej federalnej ustawy o ochronie danych (BDSG)
• brytyjskiego ogólnego rozporządzenia o ochronie danych (UK GDPR) oraz Data Protection Act 2018
• szwajcarskiej federalnej ustawy o ochronie danych (FADP)
• kalifornijskiej ustawy o ochronie prywatności konsumentów (CCPA) / kalifornijskiej ustawy o prawach do prywatności (CPRA) oraz innych stanowych przepisów USA o prywatności
• kanadyjskiej ustawy o ochronie danych osobowych i dokumentach elektronicznych (PIPEDA)
• australijskiej ustawy Privacy Act 1988
• brazylijskiej ogólnej ustawy o ochronie danych (LGPD)
• japońskiej ustawy o ochronie informacji osobowych (APPI)
• południowokoreańskiej ustawy o ochronie informacji osobowych (PIPA)
• indyjskiej ustawy o ochronie cyfrowych danych osobowych (DPDP Act) oraz IT Act
• południowoafrykańskiej ustawy o ochronie informacji osobowych (POPIA)
• wszystkich pozostałych mających zastosowanie krajowych systemów ochrony danych w jurysdykcjach, w których Usługi są udostępniane za pośrednictwem Apple App Store lub Google Play Store

2. ADMINISTRATOR DANYCH

Usługi są oferowane pod marką DigitalFreedom. Podmiotem prawnym odpowiedzialnym za przetwarzanie Państwa danych osobowych („administrator danych” w rozumieniu art. 4 pkt 7 RODO) jest:

DigitalFreedom Global LLC (działająca pod marką DigitalFreedom)
30 N Gould St, Ste N
Sheridan, WY 82801
Stany Zjednoczone

W sprawach dotyczących ochrony danych (art. 13/14 RODO, wnioski o dostęp, sprostowanie, usunięcie, przenoszenie, sprzeciw): Formularz wniosku: https://data-protection.digitalfreedom.co.za E-mail: data-protection@digitalfreedom.co.za

Mogą Państwo skorzystać z dowolnej z tych dróg, a także skontaktować się z nami każdym innym kanałem — realizujemy Państwa wniosek niezależnie od tego, jaką drogą do nas dotrze.

W sprawach ogólnych:
E-mail: hello@digitalfreedom.co.za

Strona internetowa: https://digitalfreedom.co.za

3. DANE, KTÓRE GROMADZIMY

3.1 Dane podawane przez Państwa

• Informacje o koncie (imię i nazwisko, adres e-mail, nazwa użytkownika)
• Dane komunikacyjne (zgłoszenia do wsparcia, opinie)
• Informacje o płatnościach (przetwarzane przez zewnętrznych dostawców usług płatniczych)
• Treści generowane przez użytkownika

3.2 Dane gromadzone automatycznie

• Informacje o urządzeniu (typ urządzenia, system operacyjny, wersja)
• Dane o użytkowaniu (używane funkcje, wzorce interakcji)
• Dane z logów (adres IP, czasy dostępu, logi błędów)
• Dane analityczne (zagregowane statystyki użytkowania)

3.3 Dane od osób trzecich

• Dane uwierzytelniające od dostawców logowania społecznościowego (jeśli dotyczy)
• Dane specyficzne dla platformy ze sklepów z aplikacjami (Apple, Google)

3.4 Dane z czujników, urządzenia i dane biometryczne

Gdy aplikacja korzysta z czujników lub biometrii na Państwa urządzeniu:

• Uwierzytelnianie biometryczne (Face ID / Touch ID / Android BiometricPrompt): wzorzec biometryczny nigdy nie opuszcza Państwa urządzenia. Aplikacja otrzymuje od systemu operacyjnego wyłącznie wynik tak/nie.
• Aparat, mikrofon, lokalizacja, zdjęcia, kontakty, kalendarz, ruch, zdrowie: dostęp uzyskiwany jest wyłącznie wtedy, gdy aktywnie korzystają Państwo z funkcji, która ich wymaga. Każdy dostęp jest poprzedzony monitem systemu operacyjnego z naszym opisem użycia wyjaśniającym powód.
• Dane dotyczące zdrowia i kondycji (HealthKit / Health Connect): przetwarzane wyłącznie na potrzeby konkretnej funkcji, z której Państwo korzystają; nieudostępniane osobom trzecim do celów reklamowych; niewykorzystywane do trenowania modeli AI.
• App Tracking Transparency (iOS) / kontrola AAID (Android): domyślnie aplikacje DigitalFreedom nie śledzą Państwa w aplikacjach i na stronach internetowych innych firm. Nie wyświetlamy monitu ATT, chyba że wymaga tego konkretna funkcja; jeśli przyszła funkcja będzie tego wymagać, mogą Państwo odmówić bez utraty dostępu do pozostałej części aplikacji.

3.5 Dane, których NIE gromadzimy

O ile nie zostało to wyraźnie ujawnione dla konkretnej funkcji w załączniku dotyczącym danej aplikacji, nie gromadzimy:

• dokładnej lokalizacji w tle
• kontaktów / książki adresowej
• treści SMS / e-mail z Państwa urządzenia
• historii przeglądania poza aplikacją
• identyfikatorów reklamy behawioralnej
• danych kart płatniczych (płatność jest pobierana przez Apple lub Google; nigdy nie otrzymujemy danych karty)

4. PODSTAWA PRAWNA PRZETWARZANIA (RODO)

Przetwarzamy Państwa dane osobowe na następujących podstawach prawnych:

5. JAK WYKORZYSTUJEMY PAŃSTWA DANE

Wykorzystujemy Państwa dane osobowe, aby:

• świadczyć, obsługiwać i utrzymywać Usługi
• przetwarzać transakcje i zarządzać subskrypcjami
• komunikować się z Państwem (wsparcie, aktualizacje, powiadomienia)
• ulepszać i personalizować Usługi
• zapewniać bezpieczeństwo i zapobiegać oszustwom
• wypełniać obowiązki prawne
• prowadzić analitykę (tam, gdzie jest to dozwolone lub objęte zgodą)

6. UDOSTĘPNIANIE I UJAWNIANIE DANYCH

Możemy udostępniać Państwa dane:

6.1 Dostawcom usług

Zewnętrznym dostawcom, którzy wspierają obsługę Usług, w tym:

• dostawcom hostingu w chmurze
• podmiotom obsługującym płatności
• dostawcom usług analitycznych
• narzędziom obsługi klienta

6.1.1 Wskazani podprocesorzy

Następujący podprocesorzy (dalsze podmioty przetwarzające) są obecnie zaangażowani w przetwarzanie Państwa danych osobowych:

Obciążenia w Civo są rozłożone na regiony fra1 i lon1 w celu zapewnienia redundancji i migracji. Lista podprocesorów może ulegać zmianie; aktualna lista jest prowadzona w naszym wewnętrznym rejestrze podprocesorów i jest dostępna na żądanie za pośrednictwem wskazanego poniżej kontaktu ds. ochrony danych.

6.1.2 Platformy i kanały dystrybucji

Następujące podmioty działają jako niezależni administratorzy w odniesieniu do przetwarzania prowadzonego w związku z dystrybucją na platformie, płatnościami i usługami na poziomie platformy — a nie jako nasze podmioty przetwarzające w rozumieniu art. 28 RODO. Są tu wskazane dla przejrzystości:

W odniesieniu do danych przetwarzanych przez Apple jako własnego administratora (Apple ID, dane płatnicze, analityka App Store) obowiązuje własna Polityka prywatności Apple: https://www.apple.com/legal/privacy/. W odniesieniu do danych, które Google przetwarza jako własny administrator (konto Google, rozliczenia Play, analityka Play), obowiązuje Polityka prywatności Google: https://policies.google.com/privacy.

6.2 Wymogi prawne

Możemy ujawnić dane, gdy wymaga tego prawo, postępowanie sądowe lub żądanie organu władzy publicznej.

6.3 Przeniesienia przedsiębiorstwa

W przypadku fuzji, przejęcia lub sprzedaży aktywów Państwa dane mogą zostać przekazane.

6.4 Brak sprzedaży danych osobowych

Nie sprzedajemy Państwa danych osobowych osobom trzecim.

7. MIĘDZYNARODOWE PRZEKAZYWANIE DANYCH

Państwa dane mogą być przekazywane do krajów poza krajem Państwa zamieszkania i tam przetwarzane.

W szczególności w odniesieniu do naszych wskazanych podprocesorów:

• Civo fra1 (Frankfurt nad Menem, Niemcy) — w obrębie UE, brak przekazywania poza EOG.

• Civo lon1 (Londyn, Zjednoczone Królestwo) — objęte decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony dla Zjednoczonego Królestwa na podstawie art. 45 RODO.

• Migadu-Mail GmbH — poczta jest przechowywana na serwerach we Francji (UE), więc jej przechowywanie nie wiąże się z przekazywaniem poza EOG. Migadu ma siedzibę w Szwajcarii; dostęp szwajcarskiej spółki jest objęty decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony dla Szwajcarii na podstawie art. 45 RODO.

• Google Cloud / Workspace — podstawowe przetwarzanie w regionach centrów danych w EOG. Dalsze przekazywanie do podmiotów Google poza EOG (w tym do Stanów Zjednoczonych) odbywa się na podstawie standardowych klauzul umownych UE (decyzja wykonawcza Komisji (UE) 2021/914), brytyjskiego International Data Transfer Addendum wydanego przez ICO oraz uzupełniających środków technicznych (szyfrowanie w tranzycie i w spoczynku, zarządzanie kluczami). Podstawą umowną jest Cloud Data Processing Addendum (Customers) Google.

• OpenAI Ireland Ltd. (Irlandia) oraz OpenAI OpCo, LLC (Stany Zjednoczone) — dane klienta przekazywane do OpenAI API są przetwarzane przez OpenAI Ireland Ltd. w EOG. Dalsze przekazywanie do OpenAI OpCo, LLC w Stanach Zjednoczonych odbywa się na podstawie standardowych klauzul umownych UE (moduł trzeci — podmiot przetwarzający do dalszego podmiotu przetwarzającego), brytyjskiego International Data Transfer Addendum oraz zabezpieczeń wewnątrzgrupowych. Dane klienta API są przechowywane maksymalnie przez 30 dni, a następnie usuwane, chyba że przechowywanie jest wymagane przez prawo. Podstawą umowną jest OpenAI Data Processing Addendum.

• RevenueCat, Inc. (Stany Zjednoczone) — dane o subskrypcjach / zakupach w aplikacji są przekazywane do Stanów Zjednoczonych. Przekazywanie odbywa się na podstawie standardowych klauzul umownych UE, do których odwołują się publicznie opublikowane ramy DPA RevenueCat, oraz uzupełniających środków technicznych (szyfrowanie w tranzycie i w spoczynku, pseudonimowe identyfikatory App User ID, brak danych kart płatniczych — dane kart są przetwarzane przez Apple lub Google, nigdy przez nas).

• Storj (spółka amerykańska; przechowywanie w UE) — co noc kopia naszych kopii zapasowych serwerów jest przesyłana przez hostowaną bramę Storj, która szyfruje ją po stronie Storj kluczami przekazanymi Storj, dlatego Storj może tam uzyskać dostęp do danych w czytelnej postaci; lokalizacja tej bramy nie została zweryfikowana. Zaszyfrowane fragmenty są przechowywane w węzłach przechowywania w UE, ponieważ nasz zasobnik jest umieszczony w regionie UE Storj. Ponieważ Storj jest spółką amerykańską z dostępem do danych, jest to przekazanie do państwa trzeciego. Na dzień niniejszej Polityki nie obowiązuje umowa powierzenia przetwarzania danych ani standardowe klauzule umowne ze Storj, a my nie opieramy się w tym zakresie na decyzji stwierdzającej odpowiedni stopień ochrony. Wniosek do Storj o umowę powierzenia przetwarzania danych, standardowe klauzule umowne UE (moduł drugi) oraz dodatek brytyjski przygotowano 14 października 2026 r.

• Apple (Apple Distribution International Ltd., Irlandia; przetwarzanie wewnątrz grupy przez Apple Inc., Stany Zjednoczone) — Apple działa jako niezależny administrator. Przekazywanie wewnątrz grupy do Apple Inc. w Stanach Zjednoczonych odbywa się na podstawie wewnętrznych wiążących reguł korporacyjnych Apple / standardowych klauzul umownych, jak ujawniono w Polityce prywatności Apple.

Administrator ma siedzibę poza EOG. Gdy dane osobowe użytkowników w EOG są przetwarzane przez samego Administratora, przetwarzanie to odbywa się poza EOG; Administrator stosuje do niego standard RODO jako globalny standard bazowy, jak określono w punkcie 1.2. W odniesieniu do dalszego przekazywania do wskazanych powyżej podprocesorów, które nie jest objęte decyzją stwierdzającą odpowiedni stopień ochrony, z wyjątkiem Storj (zob. powyżej):

• opieramy się na standardowych klauzulach umownych UE (SCC)
• zapewniamy odpowiednie zabezpieczenia zgodnie z rozdziałem V RODO
• oceniamy przepisy o ochronie danych kraju odbiorcy (ocena skutków przekazania danych, Transfer Impact Assessment)

W przypadku przekazywania z innych jurysdykcji przestrzegamy mających zastosowanie wymogów dotyczących transgranicznego przekazywania danych.

8. PRZECHOWYWANIE DANYCH

Przechowujemy dane osobowe tylko tak długo, jak jest to niezbędne do celów opisanych w niniejszej Polityce.

Kryteria okresów przechowywania:

• czas trwania Państwa konta lub korzystania z Usług
• obowiązki prawne — okresy przechowywania wynikające z prawa, które faktycznie wiąże Administratora i daną transakcję, a nie najdłuższy okres spotykany gdziekolwiek: dla dokumentacji rozliczeniowej oznacza to do 10 lat ustawowego przechowywania dokumentacji podatkowej i księgowej; gdy do konkretnego dokumentu przypisany jest obowiązek przechowywania wynikający z prawa UE — ten obowiązek; nigdy obcy okres stosowany do użytkownika, którego nie obejmuje
• prawnie uzasadnione interesy (np. rozstrzyganie sporów)

Konkretne okresy według kategorii: dane konta — przez czas aktywności konta plus 30 dni po usunięciu; dokumentacja rozliczeniowa — do 10 lat; zgłoszenia do wsparcia — 3 lata od zamknięcia; logi — 30 dni w pamięci gorącej, 90 dni w pamięci zimnej; dane subskrybentów marketingu — do wypisania się, z zachowaniem wpisu na liście wykluczeń. Po upływie tych okresów dane są bezpiecznie usuwane lub anonimizowane. Oświadczenia o przechowywaniu specyficzne dla poszczególnych jurysdykcji znajdują się w § 17.

8a. SZCZEGÓLNE KATEGORIE — DANE DOTYCZĄCE ZDROWIA I KONDYCJI

Gdy aplikacja oferuje funkcję związaną ze zdrowiem lub kondycją, przetwarza dane o Państwa ciele lub stanie. Jest to szczególna kategoria w rozumieniu art. 9 ust. 1 RODO i jest traktowana odrębnie od wszystkiego innego w niniejszej Polityce.

• Prosimy o Państwa wyraźną zgodę przed pierwszym odczytem lub zapisem, na ekranie, który nie zawiera żadnego innego tematu. Art. 9 ust. 2 lit. a.
• Ekran ten wskazuje konkretne typy danych, które aplikacja odczytuje i zapisuje — a nie „dane zdrowotne” jako kategorię.
• Dane są przechowywane na Państwa urządzeniu lub na naszych serwerach we Frankfurcie i Londynie. Nie opuszczają ich ani na potrzeby analityki, ani raportowania awarii, ani funkcji AI, ani do żadnego odbiorcy reklamowego.
• Nigdy nie są wykorzystywane do celów wtórnych: brak personalizacji, brak trenowania modeli, brak profilowania.
• Odmowa kosztuje Państwa wyłącznie funkcję zdrowotną. Wszystko inne działa.
• Wycofanie zgody zatrzymuje przetwarzanie na przyszłość i odbywa się w ustawieniach aplikacji.
• Przy usunięciu konta dane te są usuwane wraz z kontem, natychmiast.

Gdy dane zdrowotne miałyby trafić do funkcji AI, wymaga to własnej, odrębnej zgody. Zgoda dotycząca zdrowia jej nie obejmuje.

8b. DOSTĘP DO INFORMACJI NA PAŃSTWA URZĄDZENIU (APLIKACJE)

Niezależnie od prawa o ochronie danych, § 25 ust. 1 TDDDG oraz art. 5 ust. 3 dyrektywy 2002/58/WE wymagają Państwa zgody na przechowywanie informacji na Państwa urządzeniu lub odczytywanie informacji już tam przechowywanych — niezależnie od tego, czy informacje te są danymi osobowymi.

Żaden identyfikator reklamowy nie jest odczytywany. Aplikacje nie wyświetlają reklam, a atrybucja wykorzystuje wskazane powyżej tokeny platformy, a nie IDFA ani identyfikator reklamowy Androida.

Każdy z tych elementów jest osobnym przełącznikiem, wszystkie są domyślnie wyłączone i każdy można w dowolnym momencie zmienić w ustawieniach aplikacji.

9. BEZPIECZEŃSTWO DANYCH

Wdrażamy odpowiednie środki techniczne i organizacyjne w celu ochrony Państwa danych, w tym:

• szyfrowanie w tranzycie (TLS 1.3) i w spoczynku (AES-256 lub równoważne)
• kontrolę dostępu (RBAC, MFA dla dostępu administracyjnego, zasada najmniejszych uprawnień)
• regularne oceny bezpieczeństwa i audyty podprocesorów
• logowanie audytowe ograniczone do upoważnionego personelu
• codzienne kopie zapasowe z replikami poza siedzibą
• udokumentowane reagowanie na incydenty zgodnie z naszym wewnętrznym planem reagowania na naruszenia (art. 33/34 RODO)

Żaden system nie jest całkowicie bezpieczny. Nie możemy zagwarantować absolutnego bezpieczeństwa danych.

9.1 Powiadomienie Państwa o naruszeniu

W przypadku naruszenia ochrony danych osobowych, które może powodować wysokie ryzyko naruszenia Państwa praw lub wolności (art. 34 RODO), powiadomimy Państwa bez zbędnej zwłoki, korzystając z adresu e-mail powiązanego z Państwa kontem, podając:

• charakter naruszenia
• kategorie i przybliżoną liczbę rekordów, których dotyczy naruszenie
• możliwe konsekwencje
• środki zastosowane lub proponowane w celu zaradzenia naruszeniu i zminimalizowania negatywnych skutków
• dane kontaktowe do uzyskania dalszych informacji

Jeżeli indywidualne powiadomienie wymagałoby niewspółmiernie dużego wysiłku, wydajemy publiczny komunikat na https://digitalfreedom.co.za/.

10. PAŃSTWA PRAWA

10.1 Katalog RODO jako globalny poziom minimalny

Niezależnie od miejsca zamieszkania mogą Państwo skorzystać co najmniej z:

• dostępu do swoich danych osobowych (art. 15 RODO)
• sprostowania nieprawidłowych danych (art. 16)
• usunięcia („prawo do bycia zapomnianym”) (art. 17)
• ograniczenia przetwarzania (art. 18)
• przenoszenia danych (art. 20)
• sprzeciwu wobec przetwarzania (art. 21)
• wycofania zgody w dowolnym momencie, równie łatwo, jak została udzielona (art. 7 ust. 3)
• skargi do organu nadzorczego

10.2 Co dodaje Państwa jurysdykcja

Kilka jurysdykcji przyznaje prawa wykraczające poza ten poziom minimalny albo przewiduje inne terminy i procedury — drogi odwoławcze, krótsze terminy odpowiedzi, wskazanych z nazwiska pełnomocników. § 17 jest jedynym miejscem, w którym są one określone, dla każdej jurysdykcji. Nic w § 17 nie obniża powyższego poziomu minimalnego.

10.3 Jak skorzystać z któregokolwiek z nich

Proszę napisać na data-protection@digitalfreedom.co.za lub skorzystać z formularza wniosku pod adresem https://data-protection.digitalfreedom.co.za. Odpowiadamy w ciągu jednego miesiąca (art. 12 ust. 3 RODO) — lub w krótszym terminie przewidzianym przez Państwa jurysdykcję, jak określono w § 17.

11. PRYWATNOŚĆ DZIECI

Nasze Usługi nie są skierowane do dzieci poniżej 16 roku życia (lub mającego zastosowanie wieku zgody w Państwa jurysdykcji).

Nie gromadzimy świadomie danych osobowych dzieci. Jeżeli dowiemy się, że zgromadziliśmy dane dziecka, podejmiemy kroki w celu ich niezwłocznego usunięcia.

12. PLIKI COOKIE I ŚLEDZENIE

Nasze korzystanie z plików cookie i podobnych technologii opisano w odrębnej Polityce plików cookie.

13. ZAUTOMATYZOWANE PODEJMOWANIE DECYZJI I AI

13.1 Zautomatyzowane decyzje wywołujące skutki prawne lub podobnie istotne

Nie prowadzimy zautomatyzowanego podejmowania decyzji ani profilowania, które wywoływałoby wobec Państwa skutki prawne lub w podobny sposób istotnie na Państwa wpływało, chyba że:

• udzielili Państwo wyraźnej zgody
• jest to niezbędne do wykonania umowy
• jest to dozwolone przez mające zastosowanie prawo

W przypadku wystąpienia takiego przetwarzania mają Państwo prawo, zgodnie z art. 22 ust. 3 RODO, do uzyskania interwencji ludzkiej, wyrażenia własnego stanowiska i zakwestionowania decyzji.

13.2 Funkcje wspomagane AI

Gdy Usługi obejmują funkcje wspomagane AI (na przykład generowanie treści, streszczanie, klasyfikację z wykorzystaniem zewnętrznych interfejsów API AI, takich jak OpenAI), Informacja o przejrzystości AI opisuje:

• które funkcje korzystają z AI
• który dostawca AI jest zaangażowany
• jakie dane są przesyłane do AI
• okres przechowywania u dostawcy AI (domyślnie 30 dni dla OpenAI API)
• że funkcja działa wyłącznie po udzieleniu przez Państwa zgody przed pierwszym użyciem oraz że mogą ją Państwo w dowolnym momencie wycofać w ustawieniach aplikacji bez utraty czegokolwiek innego
• oznaczanie treści generowanych przez AI (art. 50 aktu UE w sprawie sztucznej inteligencji, obowiązujący od 2026-08-02)

13.3 Egzekwowanie zasad dozwolonego użytku

Polityka dozwolonego użytku opisuje, w jaki sposób telemetria operacyjna jest wykorzystywana do wykrywania nadużyć oraz do stosowania w uzasadnionych przypadkach dławienia, ograniczania liczby żądań, ograniczania lub zawieszania dostępu. Zautomatyzowane wykrywanie stanowi podstawę do weryfikacji przez człowieka; żadna zautomatyzowana decyzja na podstawie Polityki dozwolonego użytku nie wywołuje wobec Państwa skutków prawnych bez udziału człowieka, z wyjątkiem sytuacji, gdy jest to ściśle niezbędne do zażegnania bezpośredniego zagrożenia.

13.4 Komunikacja marketingowa

Wiadomości marketingowe wysyłane są wyłącznie na podstawie Państwa wyraźnej, odrębnej zgody (opt-in), którą mogą Państwo w dowolnym momencie wycofać bez wpływu na pozostałą część Usług. Nie ma marketingowych powiadomień push: aplikacje planują powiadomienia lokalnie na Państwa urządzeniu i nic nie jest do nich wysyłane z serwera. W przypadku odbiorców w Australii do każdej komercyjnej wiadomości elektronicznej stosuje się standard Spam Act 2003: uprzednia zgoda, prawidłowa identyfikacja nadawcy i działająca funkcja wypisania się.

13.5 Usunięcie konta

Mogą Państwo w dowolnym momencie usunąć swoje konto i zażądać usunięcia swoich danych. Drogi w aplikacji, e-mailowa i pocztowa opisane są w Informacji o usuwaniu konta.

14. LINKI I USŁUGI OSÓB TRZECICH

Usługi mogą zawierać linki do stron internetowych lub usług osób trzecich. Nie ponosimy odpowiedzialności za praktyki osób trzecich w zakresie prywatności.

15. ZMIANY NINIEJSZEJ POLITYKI

Możemy od czasu do czasu aktualizować niniejszą Politykę prywatności.

• Istotne zmiany będą komunikowane za pośrednictwem Usług lub e-mailem
• Gdy zmiana przetwarzania wymaga Państwa zgody na mocy mającego zastosowanie prawa, uzyskamy tę zgodę, zanim zmiana zacznie Państwa obowiązywać; nie traktujemy samego dalszego korzystania jako zgody
• „Data wejścia w życie” na górze odzwierciedla ostatnią wersję

16. KONTAKT

W sprawach dotyczących prywatności lub w celu wykonania swoich praw:

DigitalFreedom
Marka DigitalFreedom Global LLC
30 N Gould St, Ste N
Sheridan, WY 82801
Stany Zjednoczone

Ochrona danych: data-protection@digitalfreedom.co.za
Formularz wniosków dotyczących ochrony danych: https://data-protection.digitalfreedom.co.za
Sprawy ogólne: hello@digitalfreedom.co.za
Strona internetowa: https://digitalfreedom.co.za

Mieszkańcy UE mogą również skontaktować się z właściwym organem nadzorczym w swoim państwie członkowskim.

17. POSTANOWIENIA REGIONALNE

Co każda jurysdykcja dodaje do globalnego standardu bazowego niniejszej Polityki. § 10.1 określa poziom minimalny obowiązujący wszędzie; nic poniżej go nie obniża. Wnioski dotyczące któregokolwiek z praw w tym punkcie: data-protection@digitalfreedom.co.za lub https://data-protection.digitalfreedom.co.za.

17.1 Unia Europejska i EOG

• Przetwarzanie jest zgodne z RODO, które na mocy Porozumienia EOG obowiązuje również w Norwegii, Islandii i Liechtensteinie.
• Nie ma zastosowania wiodący organ nadzorczy: Administrator nie ma jednostki organizacyjnej w Unii, zatem mechanizm kompleksowej współpracy (one-stop-shop) z art. 56 RODO nie ma zastosowania.
• Mogą Państwo wnieść skargę do organu nadzorczego właściwego dla Państwa zwykłego pobytu, miejsca pracy lub miejsca domniemanego naruszenia (art. 77 RODO) — w państwach EOG są to Datatilsynet (Norwegia), Persónuvernd (Islandia) lub Datenschutzstelle (Liechtenstein).
• Oceny skutków dla ochrony danych są przeprowadzane tam, gdzie jest to wymagane.
• W sprawie wieku zgody cyfrowej, który państwa członkowskie ustalają między 13 a 16 lat, zob. Informację o prywatności dzieci — niniejsza Polityka nie podaje jednej liczby, ponieważ taka nie istnieje.

17.2 Zjednoczone Królestwo

• Przetwarzanie jest zgodne z UK GDPR oraz Data Protection Act 2018.
• Organem nadzorczym jest Information Commissioner’s Office (ICO).

17.3 Szwajcaria

• Znowelizowana federalna ustawa o ochronie danych (revFADP) ma zastosowanie do okoliczności wywołujących skutki w Szwajcarii niezależnie od siedziby Administratora. Standard bazowy RODO niniejszej Polityki obejmuje jej treść.
• Prawo do informacji (art. 25 revFADP): zasadniczo prawo dostępu z art. 15 RODO; odpowiadamy w ciągu 30 dni.
• Zgłaszanie naruszeń (art. 24 revFADP): należne FDPIC „tak szybko, jak to możliwe”. Nasz plan wewnętrzny działa według krótszego z mających zastosowanie terminów, więc w praktyce obowiązuje 72-godzinny termin z RODO.
• Szwajcaria jest uznana przez UE za zapewniającą odpowiedni stopień ochrony i sama uznaje EOG; przekazywanie między nimi nie wymaga dodatkowych zabezpieczeń.
• Właściwym organem jest Federalny Pełnomocnik ds. Ochrony Danych i Informacji (FDPIC).

17.4 Stany Zjednoczone

Wspólny rdzeń prawa stanowego. Kompleksowe ustawy stanowe (Wirginia, Kolorado, Connecticut, Teksas, Oregon i szersza rodzina) przyznają zasadniczo prawa z § 10.1 i dodają dwie rzeczy:

• Odwołanie. Jeżeli odrzucimy Państwa wniosek, mogą Państwo odwołać się do nas; nasza odpowiedź na odwołanie informuje, jak złożyć skargę do Prokuratora Generalnego Państwa stanu. Wyjątek: Utah (Utah Code § 13-61-203 nie przewiduje procedury odwoławczej).
• Terminy. Odpowiadamy w ciągu 45 dni, z możliwością jednokrotnego przedłużenia o kolejne 45 dni za powiadomieniem. Wyjątek: Iowa, gdzie ustawa dopuszcza 90 dni plus 45-dniowe przedłużenie (Iowa Code § 715D.3(3)) — w praktyce stosujemy krótszy termin.

Biometria (Illinois BIPA). Żaden identyfikator biometryczny nie jest gromadzony. Face ID i Touch ID są obsługiwane przez system operacyjny na Państwa urządzeniu; aplikacja otrzymuje wyłącznie wynik tak/nie. Jeżeli jakakolwiek funkcja kiedykolwiek będzie gromadzić identyfikator biometryczny, obowiązki BIPA dotyczące pisemnego zwolnienia, harmonogramu przechowywania i niszczenia mają zastosowanie przed pierwszym gromadzeniem.

Dane zdrowotne konsumentów (Waszyngton, Nevada). Gdy aplikacja dotyka danych zdrowotnych, zastosowanie ma odrębna Polityka danych zdrowotnych konsumentów — jest to odrębny dokument, ponieważ ustawa My Health My Data Act stanu Waszyngton wymaga takiego dokumentu, podlinkowanego osobno i w widocznym miejscu.

Link „Do Not Sell or Share”. Tutaj niewymagany: żadne dane osobowe nie są sprzedawane ani udostępniane na potrzeby międzykontekstowej reklamy behawioralnej — w aplikacjach nie ma reklam, a atrybucja instalacji wykorzystuje tokeny platformy, a nie identyfikator reklamowy. Jeżeli to się zmieni, link stanie się obowiązkowy.

Kalifornia — Informacja w momencie gromadzenia (CCPA/CPRA)

Przekazywana mieszkańcom Kalifornii w momencie gromadzenia lub przed nim, zgodnie z wymogami Cal. Civ. Code §§ 1798.100(a) i 1798.130(a)(5)(A). Pełna Polityka prywatności, do której należy niniejsza informacja: Polityka prywatności w tej aplikacji (Ustawienia → Informacje prawne i prywatność → Polityka prywatności) oraz na https://digitalfreedom.co.za/.

Kategorie gromadzone w ciągu ostatnich 12 miesięcy:

W ciągu ostatnich 12 miesięcy nie sprzedawaliśmy ani nie udostępnialiśmy danych osobowych mieszkańców Kalifornii i nie zamierzamy tego robić. Rezygnacja ze sprzedaży lub udostępniania nie wywołuje zatem skutku operacyjnego — ale jest dostępna na żądanie.

Okres przechowywania według kategorii: dane konta — przez czas aktywności + 30 dni po usunięciu; dokumentacja rozliczeniowa — do 10 lat (ustawowe przechowywanie dokumentacji podatkowej i księgowej); zgłoszenia do wsparcia — 3 lata od zamknięcia; logi — 30 dni w pamięci gorącej, 90 dni w pamięci zimnej; dane subskrybentów marketingu — do wypisania się, plus wpis na liście wykluczeń.

Wrażliwe dane osobowe — ograniczenie użycia (§ 1798.121). Wykorzystujemy wrażliwe dane osobowe wyłącznie do celów dozwolonych na mocy CPRA Regs § 7027(m) — świadczenie usług, bezpieczeństwo, zapobieganie oszustwom, jakość usług. Nie do wnioskowania o cechach, nie do reklamy ukierunkowanej. Rezygnacja nie wywołuje zatem skutku operacyjnego — ale jest dostępna na żądanie.

Państwa prawa na mocy CCPA/CPRA:

Weryfikujemy wnioski proporcjonalnie do wrażliwości i ryzyka (CCPA Regs §§ 7060–7063) i odpowiadamy w ciągu 45 dni, z możliwością jednokrotnego przedłużenia o 45 dni za powiadomieniem.

Shine the Light (§ 1798.83): nie ujawniamy żadnych danych osobowych osobom trzecim do ich celów marketingu bezpośredniego; coroczna odpowiedź brzmi „nic nie ujawniono”.

Global Privacy Control: honorowany jako ważny sygnał rezygnacji (CPRA Regs § 7025). Ponieważ ani nie sprzedajemy, ani nie udostępniamy, nie zmienia on naszego przetwarzania, ale jest uwzględniany.

Skargi: California Privacy Protection Agency, 2101 Arena Boulevard, Sacramento, CA 95834 — https://cppa.ca.gov/webapplications/complaint — lub Prokurator Generalny Kalifornii.

17.5 Kanada

• Zgoda (zasada 3 PIPEDA): wyraźna zgoda, gdy informacje są wrażliwe lub cel nie jest oczywisty; zgoda dorozumiana, gdy jest oczywisty i informacje nie są wrażliwe. Wycofanie w dowolnym momencie, z zastrzeżeniem ograniczeń prawnych lub umownych oraz rozsądnego uprzedzenia.
• Państwa prawa na mocy PIPEDA: dostęp i kopia, zakwestionowanie prawidłowości i sprostowanie, wycofanie zgody oraz skarga do Office of the Privacy Commissioner of Canada (https://www.priv.gc.ca). Odpowiedź zasadniczo w ciągu 30 dni (PIPEDA § 8(4)).
• Quebec (ustawa 25):
  • Osoba odpowiedzialna za ochronę informacji osobowych: Marcel R. G. Berger, data-protection@digitalfreedom.co.za, 30 N Gould St, Ste N, Sheridan, WY 82801, Stany Zjednoczone.
  • Przed przekazaniem informacji osobowych mieszkańców Quebecu poza Quebec przeprowadzana jest ocena skutków dla prywatności (EFVP) (ustawa 25 § 17). Miejsca docelowe: EOG, Zjednoczone Królestwo i Szwajcaria (odpowiedni stopień ochrony) oraz USA na podstawie standardowych klauzul umownych UE, UK Addendum i, w stosownych przypadkach, EU-US DPF.
  • Mogą Państwo zażądać swoich danych w ustrukturyzowanym, powszechnie używanym formacie technologicznym (§ 27), zażądać zaprzestania rozpowszechniania lub usunięcia z indeksu, gdy rozpowszechnianie poważnie narusza Państwa reputację lub prywatność, oraz są Państwo informowani o każdej decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu z prawem do weryfikacji przez człowieka — obecnie żadne takie decyzje nie są podejmowane.
  • Incydenty naruszenia poufności stwarzające ryzyko poważnej szkody są zgłaszane Commission d’accès à l’information oraz Państwu bez zwłoki.
  • Wersja francuska każdego dokumentu jest dostępna na żądanie; dla mieszkańców Quebecu wersja francuska jest rozstrzygająca, gdy wymaga tego prawo Quebecu.
• CASL: komercyjne wiadomości elektroniczne wyłącznie za wyraźną zgodą (opt-in), z identyfikacją nadawcy i działającą funkcją wypisania się realizowaną w ciągu 10 dni roboczych.
• Ustawy prowincjonalne (BC PIPA, Alberta PIPA) mają zastosowanie tam, gdzie zapewniają dalej idącą ochronę. Skargi również do OIPC BC i OIPC Alberta.

17.6 Australia i Nowa Zelandia

• Australia: Privacy Act 1988 oraz Australian Privacy Principles mają zastosowanie do podmiotu zagranicznego prowadzącego działalność w Australii. APP 12 przewiduje 30-dniowy termin odpowiedzi na wniosek o dostęp. APP 8 czyni nas odpowiedzialnymi za sposób postępowania zagranicznego odbiorcy z Państwa danymi — jest to surowsze niż analiza przekazania i jeden z powodów, dla których odbiorcy są wskazani z nazwy w § 6. Skargi: Office of the Australian Information Commissioner (OAIC).
• Nowa Zelandia: Privacy Act 2020 ma zastosowanie do zagranicznej agencji prowadzącej działalność w Nowej Zelandii. IPP 12 ogranicza ujawnianie poza Nową Zelandię; wnioski o dostęp są rozpatrywane w ciągu 20 dni roboczych. Skargi: Office of the Privacy Commissioner (NZ).

17.7 Brazylia (LGPD)

• Encarregado (art. 41 LGPD): Marcel R. G. Berger, data-protection@digitalfreedom.co.za, 30 N Gould St, Ste N, Sheridan, WY 82801, Stany Zjednoczone. Rezolucja ANPD CD/ANPD nr 18/2024 dopuszcza pełnienie tej funkcji dla zagranicznego administratora za pośrednictwem powyższych kanałów; niniejsza Polityka stanowi wymaganą przez nią publiczną publikację danych kontaktowych Encarregado.
• Podstawy prawne (art. 7 i 11): zgoda (I) dla marketingu; wykonanie umowy (V) dla konta, rozliczeń, funkcji AI i świadczenia usługi; obowiązek prawny (II) dla obowiązków przechowywania wiążących Administratora na mocy mającego do niego zastosowanie prawa; prawnie uzasadniony interes (IX) dla bezpieczeństwa i zapobiegania oszustwom. Dane wrażliwe wyłącznie na podstawie wyraźnej zgody lub innej podstawy z art. 11.
• Państwa prawa z art. 18: potwierdzenie, dostęp, sprostowanie, anonimizacja/blokowanie/usunięcie danych zbędnych lub niezgodnych z przepisami, przenoszenie, usunięcie danych przetwarzanych na podstawie zgody, informacja o udostępnianiu i o konsekwencjach odmowy zgody oraz odwołanie zgody. Odpowiedź w ciągu 15 dni (art. 19 § 3).
• Przekazywanie (rozdział V, art. 33): odpowiedni stopień ochrony (EOG, Zjednoczone Królestwo, Szwajcaria), zabezpieczenia umowne dla etapów w USA lub Państwa zgoda udzielona po uprzednim poinformowaniu o międzynarodowym charakterze — funkcja AI wskazuje swojego odbiorcę w USA, zanim ją Państwo włączą.
• Dzieci (art. 14): przetwarzanie danych dziecka (poniżej 12 lat) wymaga szczególnej i wyraźnie wyeksponowanej zgody rodzica; nie prowadzimy takiego mechanizmu — zamiast tego przetwarzanie oparte na zgodzie jest wstrzymywane. Zob. Informację o prywatności dzieci.
• Incydenty (art. 48): powiadamiane są ANPD oraz osoby, których dane dotyczą; naszym celem są 72 godziny, zgodnie z art. 33 RODO.
• Skargi: Autoridade Nacional de Proteção de Dados — https://www.gov.br/anpd. Portugalska wersja tego punktu jest dostępna na żądanie.

17.8 Indie (DPDP Act, 2023)

• DigitalFreedom Global LLC jest Data Fiduciary (powiernikiem danych); nie jest wyznaczona jako Significant Data Fiduciary.
• Zgoda (§ 6): dobrowolna, konkretna, świadoma, bezwarunkowa i jednoznaczna, wyrażona przez wyraźne działanie potwierdzające, ograniczona do tego, czego wymaga cel, możliwa do wycofania równie łatwo, jak została udzielona. Usługa nie jest uzależniona od zgody, której cel nie wymaga.
• Państwa prawa (§§ 11–14): dostęp do tego, co jest przetwarzane i komu udostępniane; sprostowanie, uzupełnienie i usunięcie; rozpatrywanie skarg; oraz wyznaczenie innej osoby do wykonywania Państwa praw w razie śmierci lub niezdolności.
• Grievance Officer (§ 8(10), IT Rules 2021): Marcel R. G. Berger, data-protection@digitalfreedom.co.za. Potwierdzenie w ciągu 24 godzin; rozstrzygnięcie w ciągu 15 dni, przedłużane do 30 dni w przypadku złożonych skarg wraz z wyjaśnieniem. Eskalacja: Data Protection Board of India, po jego ukonstytuowaniu.
• Dzieci (§ 9): dane osoby poniżej 18 roku życia są przetwarzane wyłącznie za weryfikowalną zgodą rodzica lub opiekuna; brak śledzenia, monitorowania behawioralnego lub reklamy ukierunkowanej skierowanej do dzieci.
• Przekazywanie (§ 16): dozwolone, z wyjątkiem miejsc docelowych notyfikowanych jako objęte ograniczeniem; żadne z używanych miejsc docelowych (EOG, Zjednoczone Królestwo, Szwajcaria, USA) nie jest obecnie objęte ograniczeniem.
• Informacje są dostępne w języku angielskim; wersję w języku hindi lub innym języku z Ósmego Załącznika można zamówić pod adresem hello@digitalfreedom.co.za.

17.9 Japonia (APPI)

• APPI ma zastosowanie do zagranicznego operatora, który pozyskuje informacje osobowe w związku z dostarczaniem towarów lub usług osobom w Japonii; niniejsza Usługa jest zatem nią objęta.
• Określenie celu: cel wykorzystania jest określany możliwie najwęziej i notyfikowany lub publikowany przy pozyskaniu. Zmiana celu jest ograniczona do tego, co pozostaje w istotnym związku z pierwotnym celem; większa zmiana wymaga nowej zgody.
• Przekazywanie osobom trzecim oraz przekazywanie osobom trzecim w państwie obcym: przekazanie osobie trzeciej wymaga co do zasady Państwa zgody. W przypadku osoby trzeciej w państwie obcym zgoda jest uzyskiwana dopiero po przekazaniu Państwu (1) nazwy tego państwa, (2) informacji o systemie ochrony informacji osobowych tego państwa oraz (3) środków podejmowanych przez odbiorcę w celu ochrony informacji osobowych. Dotyczy to OpenAI Ireland Ltd. (Irlandia) oraz dalszego przekazania do OpenAI OpCo, LLC (Stany Zjednoczone); ekran zgody funkcji AI zawiera dokładnie te informacje.
• Sprawy publicznie dostępne (art. 32): nazwa i adres operatora oraz nazwisko jego przedstawiciela, cele wykorzystania, procedury wniosków o ujawnienie oraz kontakt do składania skarg są utrzymywane w Państwa zasięgu — poprzez niniejszą Politykę oraz Impressum. Przedstawiciel: Marcel R. G. Berger.
• Zgłaszanie naruszeń: dla kategorii podlegających zgłoszeniu, wstępne zgłoszenie do Komisji Ochrony Informacji Osobowych w ciągu około 3–5 dni oraz zgłoszenie końcowe w ciągu 30 dni (60 dni w przypadku naruszeń spowodowanych bezprawnym dostępem); są Państwo powiadamiani. Nasz plan wewnętrzny działa według najkrótszego mającego zastosowanie terminu.
• Nie wysyłamy reklamowych wiadomości e-mail (w przeciwnym razie zastosowanie miałaby 特定電子メール法 — opt-in, identyfikacja nadawcy, wypisanie się).

17.10 Korea (PIPA)

• PIPA ma zastosowanie do zagranicznego operatora przetwarzającego informacje osobowe w ramach oferowania towarów lub usług osobom, których dane dotyczą, w Korei; niniejsza Usługa jest zatem nią objęta.
• Wyszczególniona, odrębna zgoda: zgoda jest uzyskiwana odrębnie dla każdej pozycji, z rozróżnieniem pozycji wymaganych i opcjonalnych; odmowa pozycji opcjonalnej nigdy nie blokuje usługi; każde żądanie wskazuje gromadzone pozycje, cel, okres przechowywania, Państwa prawo do odmowy oraz konsekwencje odmowy. Przełączniki per cel w aplikacjach realizują dokładnie to.
• Przekazywanie transgraniczne: przekazanie informacji osobowych za granicę wymaga powiadomienia o odbiorcy, państwie docelowym, dacie i sposobie przekazania, przekazywanych pozycjach, celu odbiorcy i okresie przechowywania oraz Państwa odrębnej zgody. Dotyczy to OpenAI Ireland Ltd. oraz dalszego przekazania do USA; ekran zgody AI zawiera te pozycje.
• Poniżej 14 lat: przetwarzanie danych dziecka wymaga zgody przedstawiciela ustawowego, przy gromadzeniu wyłącznie minimum informacji niezbędnych do jej weryfikacji. Żadna aplikacja nie jest skierowana do dzieci; ten przypadek obsługuje bramka wiekowa.
• Termin odpowiedzi: wnioski o dostęp, sprostowanie/usunięcie i zawieszenie są realizowane w ciągu 10 dni, albo otrzymują Państwo informację o powodzie i harmonogramie. Jest to krócej niż miesiąc z RODO i obowiązuje krótszy termin.
• Naruszenie: są Państwo powiadamiani bez zwłoki; powyżej ustawowej skali Komisja Ochrony Informacji Osobowych lub wyznaczona agencja jest powiadamiana w ciągu 72 godzin.

17.11 Turcja (KVKK)

• KVKK (ustawa nr 6698) koncepcyjnie przypomina RODO, ale w większym stopniu opiera się na wyraźnej zgodzie jako podstawie ogólnej; każda czynność przetwarzania jest oceniana odrębnie według prawa tureckiego, a nie zakłada się, że wynika z analizy na podstawie art. 6 ust. 1 lit. f.
• Przekazywanie za granicę: dla przekazania do USA, na którym opiera się funkcja AI, podstawą jest Państwa wyraźna zgoda, udzielona po ujawnieniu Państwu tego przekazania.
• Termin odpowiedzi: na wnioski odpowiadamy w ciągu 30 dni. Mogą Państwo złożyć skargę do Kişisel Verileri Koruma Kurumu po uprzednim zwróceniu się do nas — w ciągu 30 dni od naszej odpowiedzi lub 60 dni od Państwa wniosku.
• Dla konsumentów zamieszkałych w Turcji rozstrzygająca jest turecka wersja opublikowanych dokumentów.

17.12 Republika Południowej Afryki (POPIA)

POPIA § 3(1) ma zastosowanie do podmiotu odpowiedzialnego z siedzibą w Republice lub do przetwarzania za pomocą środków tam zlokalizowanych. Żadne z tych nie zachodzi — Administrator ma siedzibę w Wyoming i przetwarza dane na serwerach we Frankfurcie i Londynie, z kopią zapasową poza głównym dostawcą w węzłach przechowywania Storj w UE (§ 7), a nazwa domeny .co.za jest nazwą, a nie środkiem przetwarzania. Ustawa nie ma zatem zastosowania w obecnym stanie faktycznym. Każde zapytanie w stylu POPIA jest mimo to obsługiwane tymi samymi kanałami i w tych samych terminach, co wszędzie indziej — jest to zobowiązanie serwisowe, a nie przyznanie, że ustawa ma zastosowanie. Dwa punkty, w których POPIA różniłaby się od poziomu minimalnego RODO, podane wprost, a nie przemilczane: POPIA traktuje każdą osobę poniżej 18 lat jako dziecko, a § 22(1) wymaga zgłaszania naruszeń bez progu wysokiego ryzyka z RODO — plan reagowania na naruszenia działa według standardu RODO. Information Regulator: JD House, 27 Stiemens Street, Braamfontein, Johannesburg, 2001 — https://inforegulator.org.za.

17.13 Wszystkie pozostałe kraje

Wszędzie tam, gdzie sklepy prowadzą dystrybucję i nie ma zastosowania żaden z powyższych punktów: standard bazowy RODO niniejszej Polityki jest Państwa poziomem minimalnym (§ 1.2), każde bardziej ochronne bezwzględnie obowiązujące prawo lokalne ma przed nim pierwszeństwo, a każdy wniosek kierowany jest przez data-protection@digitalfreedom.co.za lub https://data-protection.digitalfreedom.co.za.

(c) 2025-2026 DigitalFreedom Global LLC. Wszelkie prawa zastrzeżone.