Polityka prywatności

Ta polityka wyjaśnia, jakie dane zbiera aplikacja mobilna myBrux (Android i iOS), panel lekarza i strona mybrux.com, po co je zbieramy, komu je przekazujemy, jak długo je przechowujemy i jakie masz prawa. Staraliśmy się pisać prosto. Jeśli coś jest niejasne, napisz do nas.

1. Kto jest administratorem danych

Administratorem Twoich danych osobowych jest WM Group Wojciech Czyż, ul. Brzozowa 12, 43-230 Goczałkowice-Zdrój, Polska, NIP: 6381848290, operator aplikacji myBrux. W tej polityce piszemy o sobie „my”.

Deweloperem i wydawcą aplikacji w App Store i Google Play jest SpaceIT Jakub Moskwa, który tworzy ją i utrzymuje na nasze zlecenie.

W sprawach dotyczących danych osobowych pisz na [email protected].

2. Czym jest myBrux

myBrux to narzędzie edukacyjne, które pomaga budować świadomość pozycji żuchwy i nawyków związanych z bruksizmem. Służą do tego krótkie przypomnienia w ciągu dnia, dziennik bólu, ćwiczenia relaksacyjne i statystyki.

• myBrux nie jest wyrobem medycznym. Nie diagnozuje, nie leczy i nie zastępuje konsultacji z lekarzem ani stomatologiem.
• Aplikacja jest przeznaczona wyłącznie dla osób pełnoletnich (18+).
• Nie wyświetlamy reklam i nie sprzedajemy danych. Aplikacja nie używa narzędzi analitycznych ani śledzących, a na stronie mybrux.com Google Analytics działa tylko za Twoją zgodą.

3. Jakie dane zbieramy

3.1. Dane konta

• adres e-mail oraz imię i nazwisko (albo nazwa, którą podasz);
• hasło, jeśli zakładasz konto e-mailem. Przechowujemy je wyłącznie w postaci zabezpieczonego skrótu (hash), nigdy jawnym tekstem;
• jeśli logujesz się przez Google lub Apple: identyfikator Twojego konta Google lub Apple oraz e-mail i imię, które ten serwis nam przekaże. Apple może przekazać adres zastępczy, jeśli wybierzesz opcję „Ukryj mój adres e-mail”. Nie otrzymujemy Twojego hasła do Google ani Apple;
• identyfikator użytkownika w myBrux, datę założenia konta, informację o ukończeniu ankiety wstępnej oraz typ systemu (Android lub iOS) zapisany przy sesji logowania.

3.2. Ankieta wstępna

Przy pierwszym uruchomieniu prosimy o wypełnienie krótkiej ankiety, żeby dopasować aplikację i przypomnienia do Ciebie. Zbieramy:

• przedział wieku (od 18 lat), płeć (możesz wybrać „wolę nie podawać”), rodzaj codziennego zajęcia (jeśli wybierzesz „inne”, możesz je opisać własnymi słowami);
• poziom stresu, częstotliwość odczuwania napięcia lub presji, częstotliwość aktywności fizycznej, regularność snu;
• godzinę budzenia się i zasypiania. Wyznaczają okno, w którym wysyłamy przypomnienia;
• objawy i historię: częstotliwość bólu żuchwy, skroni lub twarzy, poranne zmęczenie mięśni żucia, zauważone nocne zgrzytanie zębami, zaciskanie zębów w ciągu dnia, nawyki (przygryzanie policzka lub warg, język między zębami), noszenie szyny, aparat ortodontyczny lub protezy, problemy ze stawem skroniowo-żuchwowym (TMD).

3.3. Dane, które zapisujesz, korzystając z aplikacji

• odpowiedzi na przypomnienia: co w danej chwili robi Twój układ żucia (spoczynek, delikatny kontakt zębów, zaciskanie, mielenie, napinanie mięśni bez kontaktu zębów, nawyki języka lub warg, żucie bez potrzeby), wraz z czasem odpowiedzi i powiązaniem z danym przypomnieniem;
• dziennik bólu: data, miejsca bólu (np. staw skroniowo-żuchwowy, żwacze, skronie, okolica pod żuchwą, kark, ból głowy) i strona, natężenie w skali 1–10 (0 oznacza dzień bez bólu), charakter bólu, objawy towarzyszące (sztywność po przebudzeniu, zmęczenie żwaczy, ból przy jedzeniu, ograniczone otwieranie ust) oraz opcjonalne notatki;
• ćwiczenia relaksacyjne: rodzaj ćwiczenia, czy zostało ukończone, czas trwania i czy zostało uruchomione z przypomnienia;
• status programu przypomnień: rozpoczęcie, zakończenie, liczba dni;
• statystyki i wskaźnik „jaw score” obliczane na podstawie powyższych danych.

Dane z punktów 3.2 i 3.3 mogą ujawniać informacje o Twoim zdrowiu. To tzw. szczególna kategoria danych (art. 9 RODO), dlatego traktujemy je ze szczególną ostrożnością.

3.4. Ustawienia i dane techniczne

• godziny powiadomień, strefa czasowa (ustawiana automatycznie na podstawie telefonu albo wybrana ręcznie), język aplikacji;
• token powiadomień push, czyli losowy identyfikator, dzięki któremu możemy wysyłać przypomnienia na Twoje urządzenie;
• informacja o powiązaniu z lekarzem (z kim i od kiedy), jeśli korzystasz z tej funkcji;
• dane techniczne zapisywane przez serwer przy połączeniach z aplikacją (adres IP, data i godzina, rodzaj zapytania), w celach bezpieczeństwa.

3.5. Korespondencja

Jeśli do nas napiszesz, przetwarzamy Twój adres e-mail i treść wiadomości.

3.6. Dane przechowywane tylko na Twoim telefonie

• token logowania i podstawowe dane profilu (imię, e-mail, identyfikator) w zaszyfrowanym magazynie systemu (iOS Keychain / Android Keystore). Są usuwane po wylogowaniu;
• wybrany motyw (jasny lub ciemny) oraz, przez krótki czas, odpowiedź na przypomnienie, której nie udało się jeszcze wysłać (np. przy braku internetu).

3.7. Czego nie zbieramy

Nie zbieramy lokalizacji GPS, kontaktów, zdjęć, nagrań ani identyfikatorów reklamowych. Aplikacja nie korzysta z zewnętrznych narzędzi reklamowych ani analitycznych. Nie sprzedajemy danych i nie używamy ich do marketingu.

3.8. Zakupy w aplikacji

Jeśli kupisz myBrux Plus, płatność obsługuje App Store lub Google Play. Nie widzimy danych Twojej karty. Otrzymujemy informację o zakupie i jego statusie, powiązaną z Twoim kontem.

3.9. Konta lekarzy

Jeśli korzystasz z panelu lekarza, przetwarzamy imię i nazwisko, adres e-mail, specjalizację, numer prawa wykonywania zawodu (jeśli go podasz), dane subskrypcji oraz zaproszenia wysłane do pacjentów, w tym podany adres e-mail lub numer telefonu pacjenta.

3.10. Strona mybrux.com

Strona nie ma formularzy. Cloudflare, który ją dostarcza, przetwarza techniczne dane połączenia (m.in. adres IP) w celach bezpieczeństwa.

Jeśli się zgodzisz, korzystamy z Google Analytics 4, żeby sprawdzać, jak strona jest używana: które podstrony są odwiedzane, skąd przychodzą odwiedzający i z jakich urządzeń korzystają. Google otrzymuje wtedy dane o Twoim urządzeniu i przeglądarce, odwiedzonych podstronach, przybliżonej lokalizacji oraz identyfikatory zapisane w cookies. Adres IP służy do określenia lokalizacji i nie jest zapisywany w Google Analytics. Nie używamy tych danych do reklam i nie łączymy ich z Twoim kontem w aplikacji. Zobacz też, jak Google wykorzystuje dane ze stron, które korzystają z jego usług.

Dopóki się nie zgodzisz, strona nie łączy się z Google Analytics i nie zapisuje jego cookies. Swoją decyzję zmienisz w każdej chwili przyciskiem „Ustawienia cookies” w stopce strony. Wycofanie zgody usuwa cookies Google Analytics z Twojej przeglądarki i nie wpływa na zgodność z prawem wcześniejszego przetwarzania.

Cookies używane na stronie:

• mybrux_consent: zapamiętuje Twoją decyzję przez 6 miesięcy. Jest niezbędny, więc nie wymaga zgody;
• _ga i _ga_*: cookies Google Analytics, które odróżniają odwiedzających i sesje, do 2 lat. Tylko za Twoją zgodą.

4. Skąd mamy Twoje dane

Większość danych podajesz sam(a) w aplikacji. Przy logowaniu przez Google lub Apple otrzymujemy od tych firm identyfikator konta, e-mail i imię. Strefę czasową, język i token powiadomień aplikacja odczytuje z Twojego urządzenia.

5. Cele i podstawy prawne

Przetwarzamy dane zgodnie z RODO (rozporządzenie UE 2016/679):

Konto i działanie aplikacji

Co robimy: zakładamy i obsługujemy konto, logujemy Cię, zapisujemy wpisy, liczymy statystyki, wysyłamy przypomnienia.

Dane: dane konta, ustawienia, token powiadomień.

Podstawa: art. 6 ust. 1 lit. b RODO, czyli wykonanie umowy o korzystanie z aplikacji.

Dane o zdrowiu

Co robimy: zapisujemy i analizujemy ankietę, odpowiedzi na przypomnienia, dziennik bólu, ćwiczenia i statystyki, żeby aplikacja mogła działać.

Podstawa: art. 9 ust. 2 lit. a w zw. z art. 6 ust. 1 lit. a RODO, czyli Twoja wyraźna zgoda, którą wyrażasz w aplikacji przed wypełnieniem ankiety wstępnej. Możesz ją wycofać w każdej chwili (zob. pkt 9).

Udostępnienie danych lekarzowi

Co robimy: dajemy wgląd w Twoje dane lekarzowi lub stomatologowi, który korzysta z myBrux.

Podstawa: art. 9 ust. 2 lit. a RODO, czyli Twoja wyraźna zgoda, którą wyrażasz, wpisując kod zaproszenia od lekarza albo prosząc nas o połączenie Twojego konta z lekarzem. Cofasz ją, usuwając powiązanie z lekarzem.

Konta lekarzy i rozliczenia

Co robimy: prowadzimy konto lekarza, obsługujemy subskrypcję i wystawiamy dokumenty księgowe.

Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy) oraz art. 6 ust. 1 lit. c RODO (obowiązki księgowe i podatkowe).

Bezpieczeństwo

Co robimy: chronimy usługę przed nadużyciami i diagnozujemy błędy (logi serwera i raporty błędów).

Podstawa: art. 6 ust. 1 lit. f RODO, czyli nasz prawnie uzasadniony interes, jakim jest bezpieczeństwo usługi.

Statystyki strony

Co robimy: za Twoją zgodą mierzymy, jak używana jest strona mybrux.com, żeby ją ulepszać (Google Analytics 4).

Podstawa: art. 6 ust. 1 lit. a RODO, czyli Twoja zgoda. Zapisywanie i odczytywanie cookies na Twoim urządzeniu także wymaga zgody (art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej). Zgodę wycofasz przyciskiem „Ustawienia cookies” w stopce strony.

Kontakt i realizacja Twoich praw

Co robimy: odpowiadamy na wiadomości i obsługujemy prośby, np. o dostęp do danych lub ich usunięcie.

Podstawa: art. 6 ust. 1 lit. c RODO (obowiązek prawny wynikający z RODO) oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes, jakim jest kontakt z użytkownikami).

Podanie danych jest dobrowolne, ale bez danych konta i danych zapisywanych w aplikacji nie możemy świadczyć usługi.

6. Komu przekazujemy dane

Dane przekazujemy tylko tym podmiotom, bez których aplikacja nie mogłaby działać, i tylko w niezbędnym zakresie:

• SpaceIT Jakub Moskwa, deweloper i wydawca aplikacji, który tworzy i utrzymuje aplikację, panel i serwery. Przetwarza dane wyłącznie na nasze zlecenie;
• dostawca serwerów (hosting), na których działa nasze API i baza danych: Hetzner Online GmbH (Niemcy). Przetwarza dane wyłącznie na nasze zlecenie;
• Cloudflare (Cloudflare, Inc., USA), przez który przechodzi ruch do aplikacji, panelu i strony i który wysyła nasze wiadomości e-mail;
• Backblaze (Backblaze, Inc., USA), gdzie trzymamy kopie zapasowe bazy danych;
• Sentry (Functional Software, Inc., USA), które zbiera raporty o błędach serwera. Raport może zawierać identyfikator użytkownika, adres IP i szczegóły zapytania;
• RevenueCat (RevenueCat, Inc., USA), które obsługuje status zakupów myBrux Plus;
• Stripe (Stripe Payments Europe Ltd., Irlandia), które obsługuje płatności za subskrypcję lekarzy;
• SMSAPI (LINK Mobility Poland sp. z o.o.), które wysyła SMS-y z zaproszeniem, jeśli lekarz wybierze tę opcję. Otrzymuje numer telefonu i kod zaproszenia;
• Expo (650 Industries, Inc., USA), czyli usługa Expo Push Notifications, przez którą wysyłamy przypomnienia. Otrzymuje token powiadomień i treść powiadomienia. Treść przypomnień ma charakter ogólny (np. prośba o sprawdzenie pozycji żuchwy);
• Google: Firebase Cloud Messaging dostarcza powiadomienia na telefony z Androidem; logowanie przez Google, jeśli je wybierzesz;
• Apple: Apple Push Notification service dostarcza powiadomienia na iPhone’y; logowanie przez Apple, jeśli je wybierzesz;
• Twój lekarz lub stomatolog korzystający z myBrux, wyłącznie wtedy, gdy sam(a) wpiszesz jego kod zaproszenia albo poprosisz nas o takie połączenie (Ustawienia → Udostępnianie danych). Lekarz zyskuje wgląd w dane, które zapisujesz w aplikacji. Dostęp możesz cofnąć w każdej chwili: Ustawienia → Udostępnianie danych → Usuń powiązanie z lekarzem. Jeśli lekarz przeniesie dane do własnej dokumentacji medycznej, odpowiada za nie jako odrębny administrator;
• dostawca poczty e-mail, z której korzystamy, w zakresie korespondencji z Tobą;
• organy publiczne, tylko wtedy, gdy wymaga tego prawo.

Przy logowaniu przez Google lub Apple te firmy działają jako odrębni administratorzy danych Twojego konta Google lub Apple. Obowiązują wtedy także ich polityki prywatności.

Jeśli zgodzisz się na statystyki strony, dane o korzystaniu z niej otrzymuje też Google Ireland Limited (Irlandia), dostawca Google Analytics, który przetwarza je na nasze zlecenie.

7. Przekazywanie danych poza EOG

Nasze API i baza danych działają na serwerach zlokalizowanych w Finlandii.

Expo, Google, Apple, Cloudflare, Backblaze, Sentry, RevenueCat i Stripe mogą przetwarzać część danych (głównie token powiadomień, treść powiadomienia, dane logowania, dane techniczne i dane o zakupach) w USA lub innych krajach spoza Europejskiego Obszaru Gospodarczego. Odbywa się to na podstawie mechanizmów przewidzianych w RODO: decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU-US Data Privacy Framework, w przypadku firm, które do niego przystąpiły) lub standardowych klauzul umownych zatwierdzonych przez Komisję. Na prośbę przekażemy Ci informacje o zastosowanych zabezpieczeniach. Dotyczy to także danych z Google Analytics, jeśli zgodzisz się na statystyki strony.

8. Jak długo przechowujemy dane

• Dane konta i wszystkie dane zapisane w aplikacji: dopóki masz konto. Po usunięciu konta kasujemy je z bazy danych od razu, a z kopii zapasowych znikają w ciągu 30 dni.
• Powiązanie z lekarzem: do jego usunięcia przez Ciebie albo do usunięcia konta.
• Token powiadomień: do usunięcia konta albo zastąpienia go nowym tokenem.
• Logi serwera: do 14 dni.
• Korespondencja: przez czas potrzebny do załatwienia sprawy, a potem nie dłużej niż 12 miesięcy (np. żeby wykazać, że zrealizowaliśmy Twoją prośbę).
• Dane rozliczeniowe lekarzy: przez okres wymagany przepisami podatkowymi, zwykle 5 lat od końca roku podatkowego.
• Dane na telefonie: token logowania i dane profilu do wylogowania, pozostałe ustawienia do odinstalowania aplikacji.
• Statystyki strony (Google Analytics): do 14 miesięcy, jeśli się zgodzisz.

9. Twoje prawa

Masz prawo do:

• dostępu do swoich danych i otrzymania ich kopii;
• sprostowania (poprawienia) danych;
• usunięcia danych;
• ograniczenia przetwarzania;
• przenoszenia danych, czyli otrzymania ich w ustrukturyzowanym, powszechnie używanym formacie;
• sprzeciwu wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie;
• wycofania zgody w dowolnym momencie. Nie wpływa to na zgodność z prawem przetwarzania przed jej wycofaniem. Bez danych o zdrowiu aplikacja nie może działać, więc wycofanie zgody oznacza w praktyce usunięcie konta i danych;
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl) albo do organu nadzorczego w kraju UE, w którym mieszkasz lub pracujesz.

Jak skorzystać z praw

• W aplikacji: Ustawienia → Dane onboardingowe (przegląd i ponowne wypełnienie ankiety), Ustawienia → Godziny powiadomień, Ustawienia → Udostępnianie danych (cofnięcie dostępu lekarza), Ustawienia → Informacje o koncie → Usuń konto.
• E-mailem: [email protected], najlepiej z adresu przypisanego do konta. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. W wyjątkowych przypadkach termin może się wydłużyć o kolejne dwa miesiące; wtedy Cię o tym poinformujemy. Możemy poprosić o potwierdzenie tożsamości.

Szczegółowa instrukcja usuwania konta: mybrux.com/delete-account.

10. Bezpieczeństwo

• komunikacja aplikacji z serwerem jest szyfrowana (HTTPS);
• token logowania jest przechowywany w zaszyfrowanym magazynie telefonu (iOS Keychain / Android Keystore);
• hasła przechowujemy wyłącznie jako skrót (hash);
• dostęp do danych mają tylko osoby, które go potrzebują, a lekarz dopiero po wpisaniu przez Ciebie kodu zaproszenia albo połączeniu kont na Twoją prośbę.

Żaden system nie jest w 100% bezpieczny. Jeśli dojdzie do naruszenia, które może zagrażać Twoim prawom, poinformujemy Ciebie i Prezesa UODO zgodnie z RODO.

11. Zautomatyzowane decyzje

Aplikacja automatycznie oblicza statystyki i wskaźnik „jaw score” wyłącznie dla Twojej informacji (oraz Twojego lekarza, jeśli udostępnisz mu dane). Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały. Nie profilujemy Cię w celach marketingowych.

12. Osoby niepełnoletnie

myBrux jest przeznaczona wyłącznie dla osób, które ukończyły 18 lat. Nie zbieramy świadomie danych osób niepełnoletnich. Jeśli dowiemy się, że konto założyła osoba poniżej 18 lat, usuniemy je wraz z danymi.

13. Zmiany polityki

Możemy aktualizować tę politykę, np. gdy zmienią się funkcje aplikacji lub przepisy. Aktualna wersja jest zawsze dostępna pod adresem mybrux.com/privacy-policy, a datę ostatniej zmiany podajemy na górze strony. O istotnych zmianach poinformujemy Cię w aplikacji lub e-mailem.

14. Kontakt

WM Group Wojciech Czyż
ul. Brzozowa 12, 43-230 Goczałkowice-Zdrój, Polska
NIP: 6381848290
E-mail: [email protected]