Polityka prywatności Wbijam
Data wejścia w życie: 20 lipca 2026 r.
Ta polityka opisuje dane przetwarzane przez aplikację Wbijam, stronę wbijam.app oraz powiązane usługi. Wbijam wykorzystuje dane potrzebne do prowadzenia konta, umawiania spotkań, bezpieczeństwa, obsługi zgłoszeń oraz ulepszania produktu. Dostęp do kontaktów, zdjęcia profilowe i przypięcie miejsca na mapie są opcjonalne.
Obecnie nie sprzedajemy danych, nie wyświetlamy reklam i nie wykorzystujemy danych do śledzenia użytkownika pomiędzy aplikacjami i stronami innych podmiotów w celach reklamowych. Jest to opis aktualnego działania Wbijam, a nie obietnica, że model produktu nigdy się nie zmieni. Zanim zmienimy sposób wykorzystywania danych, zaktualizujemy tę politykę i wykonamy wymagane prawem lub zasadami sklepów czynności, w tym poprosimy o zgodę, jeśli będzie potrzebna.
1. Administrator i kontakt
Administratorem danych jest Damian Mikła, prowadzący działalność gospodarczą pod firmą Workflows Lab, ul. Jana Pawła Woronicza 15/72, 02-625 Warszawa, NIP 5214091072, REGON 529999652.
Kontakt w sprawach dotyczących prywatności i realizacji praw: kontakt@wbijam.app.
2. Jakie dane przetwarzamy
Konto i profil
- numer telefonu, kod logowania i token sesji;
- imię lub pseudonim, opcjonalnie nazwisko, forma zwracania się do Ciebie i zdjęcie profilowe;
- identyfikator konta, ustawienia widoczności, miasta, preferencje pomysłów, ustawienia powiadomień, wyciszenia i blokady.
Zdjęcie profilowe jest przechowywane w prywatnym zasobniku Supabase Storage. Aplikacja wydaje czasowy link do zdjęcia dopiero wtedy, gdy ustawienia widoczności pozwalają danej osobie zobaczyć profil. Taki link wygasa, ale w czasie ważności może zostać przekazany dalej, dlatego nie dodawaj zdjęcia, którego nie chcesz udostępnić osobom widzącym Twój profil.
Propozycje, odpowiedzi i bezpieczeństwo społeczności
- treść propozycji spotkania, zaproszone osoby, odpowiedzi, kontrpropozycje i status planu;
- wskazane miejsce, termin i czas trwania;
- opcjonalny dokładny punkt na mapie (szerokość i długość geograficzna), jeśli wybierzesz „Przypnij na mapie”;
- treść opinii wysłanej do twórcy oraz zgłoszenia treści lub użytkownika;
- kody i linki zaproszeń, informacje o blokadach oraz dane potrzebne do moderacji i przeciwdziałania nadużyciom.
Treść propozycji, odpowiedzi i dokładny punkt na mapie są widoczne dla zaproszonych osób. Osoba posiadająca ważny link zaproszenia może otworzyć powiązaną propozycję i odpowiedzieć; link może zostać przekazany dalej przez odbiorcę.
Lokalizacja i wyszukiwanie miejsc
Gdy samodzielnie otworzysz wybór miejsca na mapie, aplikacja może poprosić system o jednorazowy dostęp do lokalizacji na pierwszym planie, aby wyśrodkować mapę. Bieżącej pozycji użytej wyłącznie do wyśrodkowania nie zapisujemy na naszych serwerach. Jeśli zatwierdzisz punkt, zapisujemy wybrane współrzędne przy propozycji. Możesz też odmówić dostępu i wybrać miejsce ręcznie.
Wpisane zapytanie o miejsce może być przekazane do usługi Photon opartej na OpenStreetMap, a w razie braku wyniku do systemowej usługi geokodowania Apple lub Google. Dostawca takiej usługi może otrzymać zapytanie, przybliżony kontekst mapy, adres IP i dane techniczne połączenia zgodnie ze swoimi zasadami. Wbijam przechowuje tekst miejsca i wybrany punkt przy propozycji, ale nie przechowuje osobnej historii wyszukiwań.
Kontakty i odnajdywanie znajomych
Jeśli zezwolisz na dostęp do kontaktów, aplikacja odczytuje nazwy i numery telefonów z książki adresowej. Znormalizowane numery i etykiety kontaktów są przesyłane szyfrowanym połączeniem do naszego serwera. Serwer tworzy z numeru skrót HMAC i porównuje go z kontami Wbijam.
Dla każdego zaimportowanego numeru, również osoby bez konta, przechowujemy skrót HMAC oraz nazwę z Twojej książki adresowej do 365 dni od ostatniego importu. Umożliwia to pokazanie Ci, że osoba później dołączyła, oraz kierunkowe odnajdywanie znajomych zgodnie z ustawieniami widoczności. Nie zapisujemy surowego numeru osoby bez konta w tabeli dopasowań, ale skrót nadal traktujemy jako dane osobowe, ponieważ możemy go porównać z numerem przy użyciu naszego klucza.
Dostęp jest opcjonalny. Bez niego możesz dodawać osoby kodem, QR lub linkiem. Wbijam nie wysyła samodzielnie SMS-ów ani zaproszeń do Twoich kontaktów. Wyłączenie dostępu w systemie zatrzymuje kolejne odczyty; wcześniejsze skróty wygasają po 365 dniach od ostatniego importu. Wcześniejsze dopasowania możesz także usunąć przez funkcje „Zapomnij” w aplikacji lub kontaktując się z nami.
Urządzenie, powiadomienia i logi techniczne
- losowy identyfikator instalacji, token Expo Push, platforma i powiązanie z kontem;
- statusy techniczne dostarczenia powiadomień, w tym identyfikator zgłoszenia, błąd i odpowiedź usługi push;
- adres IP, czas żądania i dane potrzebne do limitowania prób logowania, ochrony przed spamem i diagnozy awarii;
- model urządzenia, wersja systemu i aplikacji oraz dane o awarii i wydajności.
Powiadomienia są dostarczane przez Expo oraz usługi Apple Push Notification Service albo Firebase Cloud Messaging. Możesz je wyłączyć w ustawieniach telefonu.
Analityka produktu i diagnostyka
Na naszych serwerach zapisujemy zdarzenia potrzebne do oceny działania produktu, np. otwarcie aplikacji, ukończenie onboardingu, wysłanie propozycji, użycie linku zaproszenia, dodanie kodem, przejście samouczka i wysłanie opinii. Zdarzenia mogą zawierać techniczną nazwę akcji, liczbę odbiorców, tryb propozycji, język i kraj ustawiony w systemie oraz domenę, z której otwarto aplikację. Nie zapisujemy w nich treści propozycji ani pełnego linku zaproszenia.
Korzystamy też z Sentry do raportów o błędach i części danych o wydajności. Wyłączamy tam domyślne dane osobowe, usuwamy identyfikator użytkownika i parametry zapytań z adresów. Te zabezpieczenia ograniczają dane, ale raport techniczny może nadal zawierać informacje o urządzeniu, systemie i sekwencji ekranów.
Strona wbijam.app
Jeśli zapiszesz się na listę oczekujących, przetwarzamy adres e-mail. Strona zapisuje także niepowiązane z kontem zdarzenie odwiedzin z nazwą ścieżki i domeną odsyłającą. Cloudflare i nasz serwer mogą przetwarzać adres IP oraz dane techniczne połączenia w logach bezpieczeństwa. Strona nie ustawia własnych reklamowych plików cookie.
3. Cele i podstawy prawne
| Cel | Przykładowe dane | Podstawa prawna |
|---|---|---|
| Założenie konta, logowanie i świadczenie funkcji Wbijam | telefon, profil, propozycje, odpowiedzi, ustawienia, wybrany punkt mapy, token push | art. 6 ust. 1 lit. b RODO — wykonanie umowy |
| Opcjonalne dopasowanie Twojej książki adresowej i pokazanie znajomych | numery, etykiety, skróty HMAC, dopasowania | art. 6 ust. 1 lit. b RODO wobec osoby uruchamiającej funkcję; art. 6 ust. 1 lit. f RODO wobec danych innych osób — uzasadniony interes polegający na zapewnieniu oczekiwanej funkcji odnajdywania znajomych, z ograniczeniami opisanymi w punkcie 4 |
| Bezpieczeństwo, zapobieganie nadużyciom i moderacja | IP, próby logowania, blokady, zgłoszenia, treści potrzebne do oceny zgłoszenia | art. 6 ust. 1 lit. f RODO — ochrona usługi i użytkowników oraz dochodzenie lub obrona roszczeń |
| Stabilność i ulepszanie produktu | zdarzenia użycia, dane diagnostyczne i wydajnościowe, opinie | art. 6 ust. 1 lit. f RODO — rozwój bezpiecznej i użytecznej usługi |
| Wiadomość o starcie po zapisie na listę | adres e-mail | art. 6 ust. 1 lit. a RODO — zgoda |
| Wykonanie obowiązków prawnych | dane wymagane w konkretnej sprawie | art. 6 ust. 1 lit. c RODO |
Możesz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie. Ocenimy wtedy Twoją sytuację i zaprzestaniemy przetwarzania, chyba że istnieją nadrzędne, prawnie uzasadnione podstawy albo dane są potrzebne do roszczeń.
4. Informacja dla osób znajdujących się w cudzych kontaktach
Jeśli nie masz konta Wbijam, ale użytkownik ma Twój numer w książce adresowej i uruchomi import, źródłem danych jest właśnie ten użytkownik. Otrzymujemy z jego urządzenia numer i nazwę kontaktu, po czym przechowujemy skrót HMAC numeru oraz etykietę do 365 dni od ostatniego importu. Celem jest umożliwienie kierunkowego odnalezienia się po dołączeniu do Wbijam. Nie kontaktujemy się z Tobą i nie wysyłamy zaproszenia.
Podstawą jest nasz uzasadniony interes opisany w punkcie 3. Możesz poprosić o dostęp, sprzeciwić się lub zażądać usunięcia skrótu, pisząc na kontakt@wbijam.app i podając numer, którego dotyczy żądanie. Informację publikujemy tutaj również dlatego, że nie mamy danych kontaktowych innych niż zaimportowany numer i nie używamy go do samodzielnego wysyłania zawiadomień.
5. Odbiorcy danych
W zakresie potrzebnym do działania usługi dane mogą otrzymywać:
- zaproszone przez Ciebie osoby i posiadacze ważnego linku do propozycji;
- Supabase — baza danych, funkcje serwerowe i Storage w regionie UE;
- SMSAPI.pl — wysyłka kodów SMS;
- Expo, Apple i Google — tokeny i techniczne dane dostarczenia powiadomień;
- Sentry — ograniczone dane diagnostyczne i wydajnościowe;
- Cloudflare — hosting strony, DNS, ochrona i logi techniczne;
- Photon/komoot oraz Apple lub Google — wyszukiwanie, geokodowanie i mapy, jeśli użyjesz funkcji miejsca;
- organy publiczne lub doradcy, gdy wymagają tego przepisy albo jest to potrzebne do ochrony praw.
Nie sprzedajemy danych i obecnie nie przekazujemy ich sieciom reklamowym. Dostawcy mogą działać jako nasi procesorzy albo niezależni administratorzy w zakresie określonym przez ich usługi i warunki.
6. Przekazywanie poza EOG
Główna baza aplikacji jest utrzymywana w regionie Unii Europejskiej. Niektórzy dostawcy, w szczególności Apple, Google, Expo, Sentry, Cloudflare i Supabase, mogą przetwarzać dane poza Europejskim Obszarem Gospodarczym. W zależności od dostawcy stosowane są decyzje o adekwatności, w tym EU–US Data Privacy Framework, standardowe klauzule umowne lub inne zabezpieczenia przewidziane w RODO.
7. Jak długo przechowujemy dane
- dane konta, profil, propozycje, odpowiedzi, ustawienia i powiązane tokeny push — do usunięcia konta lub wcześniejszego usunięcia danej informacji;
- zdjęcie profilowe — do jego usunięcia, zastąpienia lub usunięcia konta;
- skróty i etykiety zaimportowanych kontaktów — do 365 dni od ostatniego importu, do użycia funkcji „Zapomnij”, sprzeciwu lub usunięcia konta importującego;
- kody SMS — przez krótki okres potrzebny do weryfikacji i ochrony przed nadużyciami; aktywny kod wygasa po kilku minutach;
- sesja — do 30 dni od ostatniego odnowienia podczas korzystania z aplikacji; przy wylogowaniu lokalny token jest usuwany od razu, a aplikacja zleca jego unieważnienie na serwerze;
- opinia — do wykorzystania w rozwoju produktu albo usunięcia konta; treść opinii jest usuwana wraz z kontem;
- zgłoszenia bezpieczeństwa i moderacji — przez okres potrzebny do rozpatrzenia sprawy, ochrony użytkowników i roszczeń;
- zdarzenia analityczne na naszym serwerze — podczas istnienia konta mogą być z nim powiązane; po usunięciu konta identyfikator użytkownika jest usuwany, a pozbawione tego powiązania statystyki mogą służyć do analizy trendów produktu;
- statusy dostarczenia push — do 30 dni na potrzeby diagnostyki; rekordy powiązane z kontem są usuwane także przy usunięciu konta;
- dane Sentry, Cloudflare i logi infrastruktury — zgodnie z aktualną konfiguracją retencji dostawcy i tylko tak długo, jak są potrzebne do bezpieczeństwa, diagnostyki lub analizy;
- ograniczone dane diagnostyczne przekazane z wcześniejszych wersji testowych do Datadog — do końca retencji tego dostawcy; aplikacja nie wysyła nowych danych do Datadog;
- e-mail z listy oczekujących — do wysłania informacji o starcie, wycofania zgody lub zakończenia listy.
Kopie zapasowe mogą być usuwane w zwykłym cyklu rotacji i do tego czasu pozostają odizolowane od bieżącego użycia.
8. Usunięcie konta
Konto usuniesz w aplikacji: Ustawienia → Usuń konto. Usunięcie obejmuje profil, zdjęcie, propozycje, odpowiedzi, relacje kontaktowe, ustawienia, tokeny urządzeń, powiązane dane dostarczenia powiadomień oraz treść opinii. Zdarzenia produktu pozostają wyłącznie bez identyfikatora konta. Jeśli nie masz dostępu do aplikacji, złóż wniosek przez wbijam.app/usun-konto.
Jeśli usunięcie pliku zdjęcia nie powiedzie się, aplikacja nie powinna potwierdzić zakończenia usuwania konta; operację można wtedy ponowić.
9. Twoje prawa
Masz prawo do dostępu do danych, otrzymania kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie oraz cofnięcia zgody bez wpływu na wcześniejsze przetwarzanie.
Napisz na kontakt@wbijam.app. Odpowiemy bez zbędnej zwłoki, co do zasady w ciągu miesiąca. Możemy poprosić o informacje potrzebne do potwierdzenia tożsamości. Masz też prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (uodo.gov.pl).
10. Osoby niepełnoletnie
Wbijam jest przeznaczony wyłącznie dla osób, które ukończyły 18 lat. Nie kierujemy aplikacji do osób niepełnoletnich. Jeśli dowiemy się, że konto należy do osoby poniżej 18. roku życia, zawiesimy lub usuniemy konto i związane z nim dane. Ewentualne przyszłe udostępnienie Wbijam osobom niepełnoletnim będzie wymagało wcześniejszej zmiany produktu, regulaminu, tej polityki i deklaracji sklepów odpowiednio do ich wieku i kraju.
11. Automatyczne przetwarzanie
Stosujemy techniczne limity nadużyć i automatyczny filtr części niedozwolonych treści. Nie podejmujemy na tej podstawie decyzji wywołujących wobec Ciebie skutki prawne lub podobnie istotne. Nie oceniamy wartości Twoich relacji i nie używamy danych do reklamowego profilowania między usługami.
12. Zmiany polityki
Aktualna wersja jest dostępna na wbijam.app/prywatnosc. Gdy zmiana jest istotna, poinformujemy o niej w aplikacji lub innym odpowiednim kanałem przed jej wejściem w życie. Jeśli zmiana wymaga zgody, poprosimy o nią przed rozpoczęciem nowego przetwarzania.