Polityka prywatności

1. Kto jest administratorem

Administratorem jest operator aplikacji Privio. Ta polityka nie tworzy fikcyjnej nazwy firmy. Jedyna tożsamość techniczna w konfiguracji aplikacji to m-mlynarczyk87. Publiczny host sprawdzania wersji i dokumentów prawnych to https://static.priviomobile.app (Cloudflare).

Po publikacji w sklepach publiczną tożsamością operatora będą nazwa wydawcy i dane kontaktowe w karcie Apple App Store oraz Google Play. Do tego czasu politykę możesz przeczytać w aplikacji (Ustawienia → Polityka prywatności) i na powiązanych ekranach prawnych.

Privio nie ma konta w chmurze ani skrzynki operatora, która odbierałaby zgłoszenia z aplikacji. W binarium nie ma adresu e-mail. Nie oczekuj odpowiedzi z serwerowej skrzynki, której nie ma.

2. Czym jest Privio

Privio to lokalny zaszyfrowany sejf na telefonie lub tablecie. Przechowuje zdjęcia, filmy, dokumenty, notatki, hasła i inne pliki, które dodasz. Nie ma konta Privio w chmurze ani synchronizacji po stronie dostawcy. Nie ma SDK raportowania awarii. Opcjonalna analityka produktu (PostHog, chmura UE) działa tylko po Twojej zgodzie w Ustawieniach.

Your files are protected by encryption.

Treść plików i miniatury są szyfrowane na dysku algorytmem AES przez systemowe API kryptograficzne używane przez Expo. Klucz sejfu jest owijany Twoim PIN-em (PBKDF2-SHA256, 100 000 iteracji) i trzymany w bezpiecznym magazynie systemu (Keychain / EncryptedSharedPreferences). PIN nie jest zapisywany jako zwykły tekst.

SQLite na urządzeniu trzyma metadane sejfu: nazwy plików, typy, rozmiary, nazwy folderów, flagi ulubionych i daty. Te metadane nie są szyfrowane w bazie. Treść notatek i haseł jest w zaszyfrowanych plikach, nie jako zwykły tekst w SQLite.

Opcjonalny drugi PIN odblokowuje osobny lokalny sejf na tym urządzeniu. Oba sejfy zostają na urządzeniu. Privio nie wysyła żadnego z nich na serwer.

3. Cele i podstawy prawne (art. 6 i 13 RODO)

Świadczenie lokalnego sejfu (PIN, szyfrowanie i odszyfrowywanie plików, kopia/przywracanie z Twojej inicjatywy, udostępnianie do Privio, eksport/udostępnianie kopii, które wybierzesz, kosz i reset) to przetwarzanie niezbędne do wykonania umowy o usługę, o którą prosisz (art. 6 ust. 1 lit. b RODO), a przed utworzeniem sejfu — do działań na Twoje żądanie przed zawarciem umowy.

Opcjonalne sprawdzenie wersji przez HTTPS (pkt 5) opiera się na prawnie uzasadnionym interesie operatora (art. 6 ust. 1 lit. f RODO), aby poinformować Cię, gdy zainstalowana kompilacja jest poniżej opublikowanej wersji minimalnej. Aplikacja i tak się otworzy, gdy sprawdzenie się nie uda albo nie ma sieci. Wersja jest porównywana na urządzeniu; nie jest wysyłana jako parametr zapytania.

Uprawnienia systemowe (aparat, zdjęcia/filmy, mikrofon, Face ID / biometria) są proszone tylko przy danej funkcji. Podstawą dostępu do tych interfejsów OS jest Twoja zgoda w systemowym oknie (art. 6 ust. 1 lit. a RODO). Zgodę możesz wycofać w ustawieniach systemu; sejf na urządzeniu zostaje, dopóki go nie usuniesz.

Opcjonalna analityka produktu (pkt 6) jest wysyłana tylko, jeśli włączysz Udostępnij anonimową analitykę użycia. Podstawa prawna: Twoja zgoda (art. 6 ust. 1 lit. a RODO). Zgodę wycofasz w Ustawieniach; nowe zdarzenia wtedy nie wychodzą. Wcześniej wysłane anonimowe zdarzenia mogą pozostać u PostHog zgodnie z ich retencją.

Privio nie profiluje i nie podejmuje zautomatyzowanych decyzji wywołujących skutki prawne lub podobnie istotne (art. 22 RODO).

4. Dane na urządzeniu

Na tym urządzeniu Privio może przechowywać: zaszyfrowane pliki i miniatury; metadane SQLite opisane wyżej; owinięte PIN-em klucze i ustawienia w bezpiecznym magazynie systemu; bufor ostatniego manifestu wersji; preferencję języka; zapis, że zaakceptowałeś daną wersję regulaminu i tej polityki; a jeśli wyrazisz zgodę na analitykę — flagę zgody i losowy UUID instalacji.

Schowek: skopiowane hasło zostaje w schowku na krótko, potem Privio stara się je wyczyścić. Dopóki tekst tam jest, schowek systemowy jest wspólny z innymi aplikacjami.

Tymczasowe odszyfrowane kopie mogą powstać przy podglądzie, otwarciu, eksporcie lub udostępnieniu, a potem są usuwane po zakończeniu tej operacji. Udostępnienie lub eksport tworzy odszyfrowaną kopię, która wychodzi spod kontroli Privio, gdy odbierze ją inna aplikacja albo folder.

Jeśli włączysz opcjonalne zdjęcie po błędnym PIN-ie, Privio zapisze na tym urządzeniu zdjęcie z aparatu po nieudanym PIN-ie.

5. Sieć: sprawdzenie wersji i podgląd PDF

Privio nie jest usługą chmurową. Expo Updates są wyłączone w konfiguracji (brak kanału aktualizacji OTA).

Przy starcie Privio może wysłać żądanie HTTPS GET pod https://static.priviomobile.app/, żeby pobrać krótki manifest JSON z wersją. To zwykły HTTPS: worker (i ścieżka sieciowa, w tym Cloudflare) może zobaczyć adres IP, User-Agent i standardowe nagłówki HTTP. Privio nie dokłada sejfu, PIN-u ani treści plików. Operator nie używa tego żądania do profili reklamowych.

Przy podglądzie PDF Privio może pobrać bibliotekę pdf.js z cdnjs.cloudflare.com (CDN Cloudflare) i zapisać ją w pamięci podręcznej urządzenia. Sam plik PDF jest renderowany lokalnie i nie jest wysyłany. To też zwykły HTTPS (IP i User-Agent).

Jeśli wybierzesz Kopię na Dysku Google, Privio otworzy logowanie Google w systemowej przeglądarce, a potem połączy się z Dyskiem Google przez HTTPS. Odbiorcą tych żądań jest Google, nie Privio. Wgrywany jest tylko zaszyfrowany plik .privio i tylko po tym, jak sam uruchomisz ten przepływ.

Odbiorcą tych technicznych żądań jest Cloudflare, Inc. (Cloudflare Workers i cdnjs). Cloudflare może przetwarzać żądanie na serwerach poza Twoim krajem. Gdy stosuje się ograniczenia transferu z RODO, Cloudflare publikuje własne mechanizmy transferu (w tym standardowe klauzule umowne) w dokumentacji dla klientów. Privio nie sprzedaje tych informacji i nie używa ich do śledzenia między aplikacjami ani stronami.

Inne odczyty lokalnych URI content:// lub plików przy imporcie nie są transmisją do serwerów Privio.

6. Opcjonalna analityka produktu (PostHog, UE)

Domyślnie Privio nie wysyła analityki. Jeśli włączysz Ustawienia → Udostępnij anonimową analitykę użycia, Privio wysyła anonimowe zdarzenia produktowe (np. otwarcie aplikacji, utworzenie sejfu, dodanie elementu) do PostHog hostowanego w UE pod https://eu.i.posthog.com. Odbiorcą jest PostHog (PostHog Cloud EU). Podstawa prawna: zgoda (art. 6 ust. 1 lit. a RODO).

Zdarzenia używają losowego UUID instalacji, nie logowania. Nie zawierają PIN-u, haseł, nazw plików, treści notatek, zdjęć, e-maili, EXIF, nazw albumów, ścieżek plików ani informacji, czy sejf jest pułapką. Nagrywanie sesji i automatyczne przechwytywanie tapnięć są wyłączone.

Zgodę możesz wycofać w Ustawieniach; nowe zdarzenia wtedy nie wychodzą. Odinstalowanie usuwa lokalną flagę zgody i UUID instalacji. PostHog może zatrzymać wcześniej otrzymane anonimowe zdarzenia zgodnie z własną retencją.

7. Kopie, udostępnianie i oryginały z galerii

Kopia sejfu to plik .privio zabezpieczony hasłem, który zapisujesz przez systemowy Share albo do wybranego folderu. Privio nie wgrywa tej lokalnej kopii na serwer. Hasło kopii nie jest zapisywane w telefonie. PIN nie trafia do pliku kopii. Kto później ma ten plik i hasło, może otworzyć zawartość sejfu.

Jeśli wybierzesz Kopię na Dysku Google, Privio wgra na folder Privio na Twoim Dysku Google tylko zaszyfrowany plik .privio z Twojej inicjatywy. Privio nie ma serwerów na tę kopię. Google przechowuje szyfrogram na Twoim koncie Google.

Możesz udostępnić plik do Privio z innych aplikacji. Możesz wyeksportować lub udostępnić odszyfrowaną kopię wybranego elementu. To działania z Twojej inicjatywy.

Po imporcie z galerii Privio może zaproponować usunięcie oryginałów. Dzieje się to tylko po potwierdzeniu i tylko dla wybranych elementów. Kopie już w sejfie zostają w sejfie.

8. Uprawnienia

Aparat: zdjęcie lub film bezpośrednio do sejfu. Jeśli włączysz opcjonalne zdjęcie po błędnym PIN-ie, aparat może być użyty także po nieudanym PIN-ie.

Mikrofon: dźwięk przy nagraniu wideo do sejfu.

Zdjęcia / filmy (biblioteka): import wybranych elementów oraz opcjonalne usunięcie oryginałów z galerii po imporcie, tylko po Twoim potwierdzeniu.

Face ID / biometria: opcjonalne odblokowanie sejfu kopią klucza w bezpiecznym magazynie systemu. Szablony biometryczne zostają w systemie; Privio nie otrzymuje obrazu twarzy ani odcisku palca.

9. Retencja, kosz i usuwanie

Zawartość sejfu zostaje na urządzeniu, dopóki jej nie usuniesz, nie opróżnisz kosza, nie zresetujesz sejfu albo nie odinstalujesz aplikacji (zależnie od tego, jak system usuwa dane aplikacji).

Elementy w Koszu są trzymane 30 dni, potem kasowane na stałe z tego urządzenia. Możesz je przywrócić albo usunąć wcześniej.

Ustawienia → Zresetuj sejf oraz ekran blokady → Usuń sejf wywołują to samo lokalne wymazanie (klucze, zaszyfrowane pliki i oba lokalne sejfy). To usunięcie kopii Privio na tym urządzeniu. Nie kasuje kopii zapasowych, udostępnionych kopii ani plików w galerii, które zostawiłeś poza aplikacją.

Bufor manifestu wersji, flaga akceptacji regulaminu oraz zgoda na analitykę / UUID instalacji zostają w bezpiecznym magazynie systemu, dopóki nie zostaną nadpisane, usunięte przy deinstalacji albo (bufor) zastąpione kolejnym sprawdzeniem.

10. Kopie zapasowe urządzenia (Android i iOS)

Android Auto Backup aplikacji jest wyłączony w konfiguracji (allowBackup = false), więc Privio nie prosi o kopię danych aplikacji na Dysku Google. Wtyczka Expo SecureStore zostaje przy configureAndroidBackup: true, żeby — gdyby Auto Backup kiedyś włączono — wpisy SecureStore nadal były wyłączone z kopii. Ustawienie tej flagi na false zdjęłoby wyłączenie SecureStore i nie jest stosowane.

Na iOS elementy Keychain mają dostępność This Device Only i Privio nie synchronizuje ich przez iCloud Keychain. Zaszyfrowane pliki i baza SQLite są w piaskownicy aplikacji; jeśli zrobisz kopię całego urządzenia (Finder, kopia iCloud urządzenia), te pliki mogą do niej wejść. Kopię urządzenia możesz wyłączyć w ustawieniach systemu. To zachowanie systemu, nie chmura Privio.

11. Twoje prawa

Bo zawartość sejfu jest na urządzeniu, a nie na koncie Privio, praktyczny sposób realizacji praw dostępu, usunięcia i przenoszenia z RODO jest w aplikacji: przeglądanie i eksport, kopia .privio, trwałe usunięcie elementów albo reset sejfu.

Możesz sprzeciwić się sprawdzeniu wersji, używając aplikacji offline; nieudane sprawdzenie nie blokuje sejfu. Zgodę na uprawnienia OS wycofasz w ustawieniach systemu. Zgodę na analitykę wycofasz w Ustawieniach → Udostępnij anonimową analitykę użycia.

Możesz złożyć skargę do organu nadzorczego (w Polsce: Prezes Urzędu Ochrony Danych Osobowych). Ta polityka to informacja z art. 13 RODO. Nie jest poradą prawną.

12. Dzieci

Privio to lokalny sejf ogólnego użytku. Nie jest kierowany do dzieci i nie zbiera świadomie danych dzieci na koncie w chmurze, bo takiego konta nie prowadzi.

13. Zmiany

Jeśli ta polityka zmieni się tak, że potrzebne będzie nowe potwierdzenie w aplikacji, Privio zapisze nową wersję akceptacji i poprosi o zgodę ponownie przed utworzeniem albo przywróceniem sejfu. Ekrany w aplikacji zostają kopią, którą przeczytasz bez sieci.