Polityka prywatności ParentLoop

Ostatnia aktualizacja: 1 listopada 2026 · wersja 4.22

1. Kto odpowiada za Twoje dane

Administratorem danych osobowych przetwarzanych w aplikacjach ParentLoop i ParentLoop kids oraz na stronie parentloop.pl jest ParentLoop sp. z o.o. z siedzibą w Warszawie, ul. Grójecka 210, 02-390 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0001272931, NIP 7011335937, REGON 545952514, kapitał zakładowy 5 000,00 zł.

Kontakt w sprawach ochrony danych: kontakt@parentloop.pl. Nie wyznaczyliśmy inspektora ochrony danych — przy obecnej skali przetwarzania nie jest on wymagany; wrócimy do tej oceny, gdy skala wzrośnie.

2. W skrócie

Skrót nie zastępuje treści poniżej — wiążąca jest pełna polityka.

3. Jakie dane przetwarzamy, po co i na jakiej podstawie

Nie zbieramy danych o lokalizacji urządzenia, nie stosujemy profilowania ani zautomatyzowanego podejmowania decyzji wywołującego skutki prawne, nie korzystamy z narzędzi reklamowych ani analityki śledzącej użytkowników między aplikacjami. Nie wysyłamy Twoich danych ani danych dzieci do zewnętrznych usług sztucznej inteligencji (np. czatbotów czy modeli AI działających w chmurze) i nie używamy ich do trenowania AI; tekst ze zdjęć i wklejony adres odczytujemy na telefonie (§7).

Testy przed premierą. Jeśli testujesz aplikację przed premierą, przetwarzamy też: adres e-mail Twojego konta Google albo Apple na liście testerów w Google Play albo TestFlight, korespondencję z zaproszeniem i potwierdzeniem akceptacji Regulaminu, uwagi wysłane przez Google Play, TestFlight albo e-mail (z TestFlight także dołączone zrzuty ekranu, raporty awarii, model telefonu i wersję systemu) oraz odpowiedzi w ankiecie po testach. Robimy to, żeby udostępnić Ci wersję testową (art. 6 ust. 1 lit. b RODO) i na podstawie uwag poprawić aplikację (nasz prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO; możesz wnieść sprzeciw, §11). Udział w testach, uwagi i ankieta są dobrowolne. Nie wysyłaj w uwagach zrzutów ekranu z danymi o zdrowiu ani numerem PESEL. To, co wpiszesz w aplikacji, zostaje na Twoim koncie po premierze, tak jak u każdego użytkownika.

Odczyt wersji aplikacji z telefonu nie wymaga Twojej zgody, bo jest niezbędny do dostarczania usługi, z której korzystasz (art. 399 ustawy — Prawo komunikacji elektronicznej): bez niego nie wiemy, czy poprawka błędu do Ciebie dotarła. Nie zapisujemy przy tym identyfikatora urządzenia, adresu IP ani informacji o tym, z jakich funkcji aplikacji korzystasz, i nie przechowujemy historii — każde otwarcie aplikacji nadpisuje poprzedni zapis.

Które dane są wymagane. Do założenia konta potrzebujemy Twojego imienia i adresu e-mail (oraz hasła, chyba że logujesz się linkiem z e-maila), a do dodania dziecka — jego imienia. Dodając dziecko, oświadczasz też, że sprawujesz nad nim władzę rodzicielską albo pieczę lub pomagasz w opiece nad nim na zaproszenie rodzica; bez tego oświadczenia dziecka nie dodasz. Podanie danych jest dobrowolne i nie wymaga go żaden przepis, ale bez danych wymienionych wyżej nie zawrzemy umowy i nie założysz konta. Wszystko inne (np. data urodzenia, zdjęcie, numer PESEL, dane o zdrowiu, dokumenty, wpisy, opinie) podajesz, jeśli chcesz; gdy czegoś nie podasz, nie działa tylko funkcja, która tego potrzebuje — np. bez daty urodzenia aplikacja nie podpowie obowiązków dopasowanych do wieku.

4. Dane, których nie podałeś nam samodzielnie

ParentLoop z natury działa tak, że jeden rodzic wprowadza dane dotyczące dziecka, a czasem także dane drugiego rodzica (np. dni, w które dziecko jest u niego, przekazania dziecka i wydatki, które go dotyczą). Oznacza to, że możemy przetwarzać dane osoby, która sama nam ich nie przekazała.

• Źródło danych: drugi rodzic lub opiekun korzystający z ParentLoop.
• Zakres: kategorie wymienione w §3.
• Goście urodzinowi: jeśli rodzic wpisze imiona gości zaproszonych na urodziny dziecka, zapisujemy wyłącznie imię — bez nazwiska i kontaktu. Widzą je tylko rodzice tego dziecka, a usuwamy je razem z planem urodzin albo z kontem. Nie znamy tych dzieci ani ich rodziców, a ustalenie, kim są, wymagałoby zbierania dodatkowych danych, więc nie informujemy ich bezpośrednio (art. 14 ust. 5 lit. b RODO).
• Nauczyciele: jeśli rodzic wpisze plan lekcji albo wczyta go ze zdjęcia, przy lekcji zapisujemy nauczyciela tak, jak został podany — bez danych kontaktowych. Widzą go rodzice tego dziecka oraz dziecko w ParentLoop kids, a usuwamy go razem z planem lekcji albo z kontem. Nie mamy kontaktu do nauczycieli, a szukanie go oznaczałoby zbieranie dodatkowych danych, więc nie informujemy ich bezpośrednio (art. 14 ust. 5 lit. b RODO).
• Inne osoby wpisane przez rodzica: lekarz dziecka (w danych o zdrowiu) albo osoba wpisana w wydarzeniu, np. trener. Zapisujemy tylko to, co poda rodzic. Podstawą jest nasz prawnie uzasadniony interes: rodzice mogą dzięki temu zorganizować opiekę i mieć te informacje pod ręką w nagłej sytuacji (art. 6 ust. 1 lit. f RODO). Nie informujemy tych osób bezpośrednio (art. 14 ust. 5 lit. b RODO): nie mamy ich danych kontaktowych ani żadnej relacji z nimi, a zdobywanie kontaktu albo pisanie do lekarza czy trenera oznaczałoby zbieranie dodatkowych danych i ujawniałoby im, że rodzina korzysta z aplikacji i jak opiekuje się dzieckiem. Widzą je tylko rodzice tego dziecka, a wpisy w kalendarzu także dziecko w ParentLoop kids; usuwamy je razem z wpisem albo z kontem.
• Zaproszony rodzic po dołączeniu widzi te same dane dziecka i może je poprawiać, uzupełniać oraz korzystać ze wszystkich praw opisanych w §11.
• Jak dowiaduje się o tym drugi rodzic: zaproszenie wysyłasz sam — ze swojej poczty albo komunikatora; adresu e-mail ani numeru telefonu drugiego rodzica nie dostajemy. Gdy drugi rodzic dołączy, poznaje tę politykę przy zakładaniu konta. Dopóki nie dołączy, nie mamy jak się z nim skontaktować, więc nie informujemy go bezpośrednio (art. 14 ust. 5 lit. b RODO); ta polityka jest dostępna publicznie, a tekst zaproszenia, który aplikacja przygotowuje do wysłania, zawiera link do niej.
• Jak chronimy prawa tych osób: zamiast informować je bezpośrednio, publikujemy tę politykę na parentloop.pl/privacy, wpisane dane widzą wyłącznie członkowie rodziny dziecka, niczego tym osobom nie wysyłamy, nie profilujemy ich i nie używamy ich danych do marketingu, a usuwamy je razem z wpisem albo kontem. Każda z tych osób może wnieść sprzeciw albo zażądać usunięcia swoich danych, pisząc na adres z §17.
• Rodzic wprowadzający dane dziecka oświadcza, że ma do tego prawo — zwykle wynikające z władzy rodzicielskiej. ParentLoop nie weryfikuje i nie rozstrzyga sporów o władzę rodzicielską ani o zakres opieki.

5. Dokumenty i dane o zdrowiu — szyfrowanie end-to-end

Dokumenty dziecka (np. wyroki, ugody, plany wychowawcze) są szyfrowane na urządzeniu rodzica, zanim opuszczą telefon. Szyfrowana jest zarówno zawartość pliku, jak i jego nazwa. Klucze prywatne nie opuszczają urządzeń rodziców. Rodzaj dokumentu (np. paszport) i data jego ważności nie są szyfrowane — dzięki temu aplikacja przypomina o kończącej się ważności i porównuje ją z datami wyjazdu.

Dane o zdrowiu dziecka szyfrujemy w ten sam sposób, osobno dla każdego dziecka. Klucz do danych o zdrowiu powstaje automatycznie na telefonie rodzica, który ma dostęp do tych danych, wyraził zgodę na dane o zdrowiu i ma na telefonie klucz do dokumentów (szyfrowanie można też włączyć ręcznie w Ustawieniach); przekazanie klucza drugiemu rodzicowi albo opiekunowi wymaga jednego potwierdzenia (porównania odcisku klucza). Szyfrowanie zaczyna obowiązywać, gdy klucz mają wszystkie osoby z dostępem do danych o zdrowiu tego dziecka — rodzice, a także opiekun, jeśli nadano mu to uprawnienie. Wtedy alergie, leki, choroby przewlekłe, grupa krwi, notatki, wpisy (wizyty, szczepienia, diagnozy, wyniki badań, pobyty w szpitalu) oraz pomiary wzrostu i wagi są szyfrowane na telefonie, zanim trafią na nasz serwer; na serwerze nadal widzimy, że wpis istnieje, jego datę i to, kto go dodał. Dopóki klucza nie mają wszystkie osoby z dostępem do danych o zdrowiu tego dziecka, dane te są przechowywane jak dotąd — zabezpieczone, ale nie end-to-end — a aplikacja pokazuje, na kogo czeka.

Numer PESEL dziecka, jeśli go wpiszesz, jest zawsze szyfrowany na telefonie — osobno dla każdego z rodziców, jego kluczem do dokumentów — zanim trafi na nasz serwer. Nie możemy go odczytać. Na serwerze widzimy tylko to, że numer został zapisany i dla których rodziców. Do zapisania numeru potrzebny jest klucz do dokumentów.

W praktyce oznacza to, że ani my, ani dostawca hostingu nie jesteśmy w stanie odczytać tych danych — nawet gdybyśmy chcieli, i nawet gdyby ktoś uzyskał dostęp do bazy danych. Konsekwencja tego rozwiązania: jeśli utracisz dostęp do wszystkich swoich urządzeń i nie zabezpieczysz klucza, nie możemy odzyskać tych dokumentów ani zaszyfrowanych danych o zdrowiu, pomiarów wzrostu i wagi oraz numeru PESEL.

Kopia klucza w kluczu dostępu (passkey). Klucz możesz zabezpieczyć, zapisując klucz dostępu w Hasłach Apple albo w Menedżerze haseł Google. Przechowujemy wtedy zaszyfrowaną kopię Twojego klucza, którą otworzyć może tylko ten klucz dostępu — my nie możemy. Kopię usuniesz w ustawieniach klucza do dokumentów; znika też, gdy zmienisz klucz, i razem z kontem. Każdy, kto zna hasło do Twojego konta Apple lub Google i kod do jednego z Twoich urządzeń, może użyć tego klucza dostępu.

Gdzie wpisywać informacje o zdrowiu. Szyfrowanie end-to-end i zgoda na dane o zdrowiu obejmują sekcję zdrowia i dokumenty o zdrowiu. W wydatkach, wiadomościach i kalendarzu pisz tylko to, co potrzebne do organizacji (np. „wizyta u lekarza”, „apteka”), a szczegóły o zdrowiu dziecka zapisuj w sekcji zdrowia.

6. Wiadomości między rodzicami

Chcemy być tu w pełni szczerzy: wiadomości nie są szyfrowane end-to-end. Są przechowywane na naszym serwerze w postaci umożliwiającej ich odczytanie. Wynika to z dwóch funkcji, które uznaliśmy za ważniejsze dla bezpieczeństwa rodzin niż pełne szyfrowanie:

• Filtr wulgaryzmów — treść wiadomości jest automatycznie sprawdzana przed zapisaniem, a wykryte wulgaryzmy są maskowane. To automatyczne przetwarzanie tekstu, bez udziału człowieka.
• Zgłaszanie nadużyć i wstrzymanie rozmowy — rodzic może zgłosić wiadomość. Zgłoszona wiadomość może zostać przeczytana przez wyznaczoną osobę z zespołu ParentLoop w celu rozpatrzenia zgłoszenia. Poza tym przypadkiem nikt z zespołu nie czyta korespondencji rodziców. Każda strona rozmowy może ją też wstrzymać: dopóki osoba, która ją wstrzymała, jej nie wznowi, nikt w tej rozmowie nie wyśle nowej wiadomości. Zapisujemy, kto i kiedy wstrzymał i wznowił rozmowę; widzą to obie strony w rozmowie i w jej eksporcie, a druga strona dostaje powiadomienie. Po zgłoszeniu możemy też ukryć bezprawną wiadomość u obu stron (w rozmowie zostaje informacja, że ukrył ją ParentLoop, a jej treść zachowujemy jako dowód na potrzeby odwołania albo organów ścigania) albo wstrzymać rozmowę; taką rozmowę możemy wznowić tylko my.

Jeśli po zgłoszeniu ograniczymy Twoje konto, dostaniesz od nas uzasadnienie decyzji i możesz się od niej odwołać — zasady opisuje Regulamin.

Jeśli chcesz przekazać drugiemu rodzicowi treść, której nie chcesz powierzać serwerowi, skorzystaj z zaszyfrowanych dokumentów (§5).

7. Rozpoznawanie tekstu ze zdjęć: paragony i plan lekcji

Odczyt kwot i dat z paragonów odbywa się lokalnie na urządzeniu. Zdjęcie paragonu ani odczytany z niego tekst nie są wysyłane do żadnego zewnętrznego serwisu rozpoznawania tekstu. Na nasz serwer trafia jedynie zdjęcie zapisane przy wydatku oraz odczytane dane, jeśli je zatwierdzisz. Na telefonach z systemem Android do odczytu tekstu na urządzeniu używamy biblioteki Google ML Kit, która wysyła do Google dane diagnostyczne o urządzeniu i działaniu odczytu (bez zdjęcia i bez odczytanego tekstu — §8).

Plan lekcji też możesz wczytać ze zdjęcia. Tekst odczytujemy na telefonie, a kopię zdjęcia w aplikacji usuwamy zaraz po odczycie — zdjęcie ani odczytany tekst nie trafiają na nasz serwer ani do żadnego zewnętrznego serwisu (na Androidzie biblioteka Google ML Kit wysyła do Google wyłącznie dane diagnostyczne — §8). Zapisujemy tylko lekcje, które zatwierdzisz.

Wklejanie adresu z wiadomości albo notatki do wydarzenia odczytuje adres na telefonie i nigdzie go nie wysyła. Na iPhonie robi to system telefonu. Na Androidzie korzystamy wtedy z biblioteki Google ML Kit, ale tylko jeśli zgodziłeś się na nią przy odczycie paragonu albo planu lekcji (zgodę wycofasz w Ustawieniach → Zgody); przy pierwszym użyciu pobiera ona z Google model językowy i wysyła do Google wyłącznie dane diagnostyczne, bez wklejonego tekstu (§8). Bez tej zgody adres wklejamy tak, jak go skopiowałeś.

8. Komu powierzamy dane

Dane w aplikacji są widoczne wyłącznie dla rodziców i opiekunów powiązanych z profilem danego dziecka. Korzystamy z dostawców, którzy przetwarzają dane wyłącznie na nasze polecenie, na podstawie umów powierzenia przetwarzania:

Baza danych i pliki są przechowywane w Unii Europejskiej. Przekazanie danych poza EOG (dostawcy powiadomień i aktualizacji) odbywa się na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony (EU–US Data Privacy Framework — dla podmiotów w nim certyfikowanych) oraz standardowych klauzul umownych Komisji Europejskiej.

Podpowiedzi adresów pochodzą z Google Maps Platform (Places API). Gdy wpisujesz adres wydarzenia, telefon wysyła wpisany tekst bezpośrednio do Google LLC (USA), które widzi przy tym adres IP telefonu. Google przetwarza te dane jako odrębny administrator, na własnych zasadach (warunki ochrony danych Google Maps dla administratorów i polityka prywatności Google), a nie na nasze polecenie — dlatego nie ma go w tabeli powyżej. Do Google trafia tylko to, co wpiszesz w pole adresu, bez danych konta i bez imienia dziecka. Odczyt tekstu na Androidzie: przy odczycie tekstu ze zdjęcia paragonu lub planu lekcji oraz przy wklejaniu adresu (§7) biblioteka Google ML Kit zapisuje na telefonie swój identyfikator instalacji oraz odczytuje i wysyła do Google LLC (USA) dane diagnostyczne o urządzeniu i działaniu odczytu: producenta, model telefonu i wersję systemu, dostępne akceleratory sprzętowe, nazwę i wersję aplikacji, identyfikator instalacji biblioteki, czasy działania, format i rozdzielczość obrazu, rozmiar danych wejściowych i wyjściowych, wersję funkcji, rodzaj zdarzenia oraz kody błędów (przy połączeniu Google widzi też adres IP telefonu) — nigdy samo zdjęcie, wklejony ani odczytany tekst. Google przetwarza te dane jako odrębny administrator w celu diagnostyki i analityki użycia biblioteki ML Kit, zgodnie z warunkami usług Google APIs / ML Kit i polityką prywatności Google. Przekazanie danych do USA opiera się na decyzji Komisji Europejskiej dotyczącej programu EU–US Data Privacy Framework (o ile Google LLC posiada w nim aktywną certyfikację) albo na standardowych klauzulach umownych.

Kalendarz w telefonie. Jeśli w Ustawieniach włączysz subskrypcję kalendarza, utworzymy prywatny link, który dodajesz do wybranego przez siebie kalendarza (np. Kalendarz Apple i iCloud, Kalendarz Google, Outlook). Ten serwis co kilka godzin pobiera z naszego serwera dane opisane w §3 i przechowuje je na własnych zasadach — jako odrębny administrator, którego wybierasz Ty, a nie na nasze polecenie — dlatego nie ma go w tabeli powyżej. Część takich serwisów przetwarza dane poza EOG, np. w USA. Link działa jak hasło: każdy, kto go ma, zobaczy te same dane, więc nie udostępniaj go innym. W każdej chwili możesz go wyłączyć albo wygenerować nowy — stary przestaje wtedy działać od razu. W kalendarzu są też dni opieki i wydarzenia dodane przez drugiego rodzica, które widzisz w aplikacji; drugi rodzic widzi w aplikacji, że masz włączoną subskrypcję.

Gdy uruchomimy płatności, subskrypcje będzie obsługiwać wyłącznie Apple (App Store) albo Google (Google Play) — jako odrębni administratorzy danych płatniczych, na własnych zasadach. Nie widzimy numeru Twojej karty; dostajemy tylko informację, że subskrypcja jest aktywna, i jej identyfikator. Stan subskrypcji będzie dla nas sprawdzać RevenueCat (RevenueCat, Inc., USA) jako podmiot przetwarzający, na podstawie decyzji Komisji Europejskiej dotyczącej programu EU–US Data Privacy Framework (o ile podmiot ten posiada w nim aktywną certyfikację) albo standardowych klauzul umownych: dostanie losowy identyfikator rodziny — bez imion i adresu e-mail — dane zakupu przekazane przez sklep oraz podstawowe dane techniczne telefonu (system, wersja aplikacji, kraj sklepu). Zanim płatności ruszą, poinformujemy o tym e-mailem (§16).

Testy w Google Play i TestFlight. Wersję testową aplikacji, jej aktualizacje oraz uwagi i raporty awarii wysyłane przez Google Play albo aplikację TestFlight obsługują Google (Google Ireland Limited i Google LLC, USA) albo Apple (Apple Distribution International Ltd. i Apple Inc., USA) jako odrębni administratorzy, na zasadach programów testów Google Play i TestFlight. Udostępniają nam w swoich konsolach przebieg testów i przesłane przez Ciebie uwagi (§3). Przekazanie danych do USA odbywa się na podstawie decyzji Komisji Europejskiej dotyczącej programu EU–US Data Privacy Framework albo standardowych klauzul umownych.

Plan dnia, który wysyłasz sam. Gdy dzieci mieszkają w jednym domu, możesz z Pulpitu wysłać plan dnia komuś, kto nie ma konta, np. babci albo opiekunce: datę, imiona dzieci, wydarzenia z godziną i miejscem, koniec lekcji albo przedszkola i imię osoby, która odbiera dziecko. Wysyłasz go sam — wybraną przez siebie aplikacją, do wybranej osoby. ParentLoop niczego przy tym nie wysyła i nie zapisuje, komu plan przekazałeś. Od chwili wysłania ta kopia jest poza ParentLoop: nie możemy jej poprawić ani usunąć.

9. Jak długo przechowujemy dane

• Dane konta i dane dziecka — przez czas korzystania z aplikacji. Usuwamy je, gdy usuniesz konto (§11).
• Link do kalendarza (§8) — działa do czasu, gdy go wyłączysz lub wygenerujesz nowy, i wygasa wraz z usunięciem konta. Nie przechowujemy osobnej kopii kalendarza — dane składamy przy każdym pobraniu. Wydarzenia, które Twój kalendarz już pobrał, mogą w nim zostać, dopóki nie usuniesz subskrypcji ze swojego kalendarza.
• Pojedyncze wpisy (wydatek, wydarzenie, dokument, pomiar) — do momentu ich usunięcia przez rodzica w aplikacji.
• Wpisy zdrowotne (wizyty, szczepienia, diagnozy, wyniki badań, hospitalizacje) są zapisywane w trybie tylko-do-dopisywania: korekta tworzy nowy wpis, a pojedynczego wpisu nie da się skasować z poziomu aplikacji. Usuwamy je razem z kontem albo na Twoje żądanie zgłoszone mailem. Gdy wycofasz zgodę na dane o zdrowiu, od razu usuwamy wszystkie dane o zdrowiu dziecka, także dokumenty o zdrowiu, chyba że drugi rodzic z dostępem do danych o zdrowiu dziecka wyraził własną zgodę — wtedy zostają dla niego, a Ty przestajesz je widzieć (zgoda opiekuna, który nie jest rodzicem dziecka, ich nie zatrzymuje). Przed wycofaniem zgody możesz pobrać kopię danych (§11). W dniu 18. urodzin dziecka dane o zdrowiu usuwamy (§10).
• Historia zgód — przechowywana także po wycofaniu zgody i po usunięciu konta, w minimalnym zakresie potrzebnym do wykazania, że zgoda była udzielona (data i wersja dokumentu; art. 7 ust. 1 RODO) — przez 3 lata od końca roku, w którym zgodę wycofano albo usunięto konto.
• Korespondencja w sprawie praw z RODO (Twoje żądanie, np. wydania albo usunięcia danych, i nasza odpowiedź) — przez 3 lata od końca roku, w którym sprawę zamknęliśmy, jako dowód, że ją załatwiliśmy. Kopie dokumentów tożsamości oraz odpisów orzeczeń sądowych przesłane w celu weryfikacji zgłoszenia usuwamy niezwłocznie po ich sprawdzeniu (w korespondencji przechowywanej przez 3 lata pozostaje wyłącznie adnotacja o dokonanej weryfikacji). Zgłoszenia usunięcia konta ze strony mają osobny, krótszy termin (niżej).
• Zgłoszenia wiadomości i decyzje w ich sprawie — przez 3 lata od końca roku, w którym zamknęliśmy sprawę, także gdy w tym czasie usuniesz konto (wtedy już bez powiązania z nim), jako dowód, że rozpatrzyliśmy zgłoszenie zgodnie z aktem o usługach cyfrowych (DSA), i na wypadek roszczeń (art. 6 ust. 1 lit. c i f RODO). Treść wiadomości ukrytej po zgłoszeniu usuwamy razem ze sprawą albo wcześniej, razem z wiadomością.
• Wersja aplikacji — jeden zapis na system telefonu, nadpisywany przy każdym otwarciu aplikacji. Usuwamy go razem z kontem.
• Darmowy dostęp przyznany na adres e-mail — jeśli konto z tym adresem jeszcze nie istnieje, zaproszenie czeka najdłużej 90 dni, potem adres usuwamy. Po założeniu konta zostaje tylko powiązanie z kontem; informację o przyznanym dostępie, oznaczenie testera i notatkę zespołu przechowujemy do usunięcia konta.
• Opinie i odpowiedzi w ankiecie — przez czas istnienia konta; usuwamy je razem z kontem i są częścią eksportu danych. Czyta je wyłącznie zespół ParentLoop, drugi rodzic ich nie widzi. Opinia trafia też e-mailem na skrzynkę zespołu — tę kopię usuniemy na Twoją prośbę.
• Dane z testów przed premierą — Twój adres z listy testerów w Google Play i TestFlight usuwamy po zakończeniu Twojego udziału w testach, najpóźniej 30 dni po premierze w danym sklepie. Uwagi i raporty awarii z Google Play i TestFlight oraz odpowiedzi w ankiecie po testach przechowujemy do 12 miesięcy od zakończenia testów. Mail z akceptacją Regulaminu przechowujemy tak samo jak historię zgód.
• Dostęp dziecka do ParentLoop kids — do odwołania go przez rodzica, usunięcia profilu dziecka albo usunięcia konta.
• Plany urodzin (goście, prezenty, rezerwacje) — do usunięcia planu przez rodzica albo razem z kontem.
• Kopia klucza w kluczu dostępu — do jej usunięcia w ustawieniach, zmiany klucza albo usunięcia konta.
• Wiadomości między rodzicami — wysłanej wiadomości nie da się w aplikacji edytować ani usunąć, bo rozmowa jest wspólnym zapisem ustaleń w sprawach dziecka; po zgłoszeniu zespół może jedynie ukryć bezprawną wiadomość (§6). Wiadomości przechowujemy, dopóki w rodzinie jest ktoś z kontem, i usuwamy je, gdy konto usunie ostatnia osoba w rodzinie. Gdy konto usuwa jeden rodzic, jego wiadomości zostają w rozmowie drugiego, z oznaczeniem „Usunięty użytkownik” zamiast imienia i bez powiązania z kontem, dopóki drugi rodzic nie usunie swojego konta albo dopóki nie uwzględnimy sprzeciwu (§11). Zapisy o wstrzymaniu i wznowieniu rozmowy przechowujemy tak samo jak wiadomości.
• Powiadomienia w aplikacji — 180 dni od wysłania, potem usuwamy je automatycznie. Gdy ktoś usuwa konto, jego imię znika z powiadomień innych osób; gdy usuwamy dane dziecka, znika z nich imię dziecka.
• Zgłoszenie usunięcia konta ze strony — adres e-mail do czasu usunięcia konta albo odwołania zgłoszenia (niepotwierdzone zgłoszenie: 30 dni). Potem przez 90 dni zostaje tylko skrót adresu i daty, jako dowód, że żądanie wykonaliśmy; następnie usuwamy i je.
• Dane dziecka po ukończeniu 18 lat — dane o zdrowiu i numer PESEL usuwamy w dniu osiemnastych urodzin, pozostałe dane 3 miesiące później (§10).
• Kopie zapasowe bazy danych — tworzymy je codziennie i przechowujemy 7 dni. Usunięte dane znikają z nich najpóźniej po tym czasie; do kopii sięgamy wyłącznie po to, żeby odtworzyć bazę po awarii.

10. Gdy dziecko kończy 18 lat

Dane dziecka przetwarzamy w związku z wykonywaniem przez rodziców władzy rodzicielskiej albo pieczy (art. 6 ust. 1 lit. f RODO), a dane o zdrowiu i numer PESEL — na podstawie zgody rodzica. W dniu osiemnastych urodzin władza rodzicielska wygasa — od tego momentu to sama osoba pełnoletnia decyduje o swoich danych. Dlatego aplikacja przestaje wtedy przyjmować nowe dane na temat tej osoby.

Dane o zdrowiu i numer PESEL usuwamy w dniu osiemnastych urodzin (jeśli rodzice nie dostali uprzedzenia około 30 dni przed urodzinami, usuwamy je 4 tygodnie po uprzedzeniu). Przetwarzaliśmy je na podstawie zgody rodzica udzielonej w imieniu dziecka, a ta podstawa wygasa razem z władzą rodzicielską. Około 30 dni wcześniej rodzice z dostępem do tych danych dostają powiadomienie, żeby zdążyli pobrać kopię (Ustawienia → Pobierz moje dane). Pomiary wzrostu i wagi zostają razem z pozostałymi danymi.

Pozostałe dane już zapisane pozostają przez 3 miesiące widoczne, możliwe do wyeksportowania i możliwe do usunięcia (nasz prawnie uzasadniony interes: rodzice mogą spokojnie pobrać wspólny zapis, a osoba pełnoletnia może się temu sprzeciwić — art. 6 ust. 1 lit. f RODO) — zablokowanie komuś dostępu do własnych danych byłoby odwrotnością tego, o co chodzi w RODO. Po 3 miesiącach je usuwamy; aplikacja pokazuje rodzicom dokładną datę. Osoba pełnoletnia, której dane znajdują się w ParentLoop, może w tym czasie zwrócić się do nas o ich wydanie lub usunięcie. Taka osoba nie ma w aplikacji konta, więc jej tożsamość potwierdzamy bezpośrednio z nią: prosimy o kilka informacji z jej dawnego profilu (np. imię, datę urodzenia i to, z którym rodzicem był powiązany) i odpowiadamy na adres e-mail, z którego napisała. O dokument tożsamości poprosimy tylko wtedy, gdy mamy uzasadnione wątpliwości (art. 12 ust. 6 RODO), a rodzica powiązanego z jej dawnym profilem włączamy wyłącznie za jej zgodą. W razie prośby o dokument prosimy o zasłonięcie na nim zdjęcia, numeru PESEL oraz serii i numeru dokumentu (wystarczy imię, nazwisko, data urodzenia i data ważności), a przesłaną kopię usuwamy od razu po weryfikacji. Dokumentów oraz zaszyfrowanych end-to-end danych o zdrowiu, pomiarów wzrostu i wagi i numeru PESEL (§5) nie możemy odszyfrować ani wydać w kopii — możemy je natomiast usunąć wraz z całym profilem. Kopię zaszyfrowanych danych może przekazać osobie pełnoletniej rodzic, który pobierze eksport.

Jeśli rodzic nie podał daty urodzenia dziecka, aplikacja nie wie, kiedy dziecko kończy 18 lat, więc ten zapis nie zamyka się sam: dane zostają, dopóki rodzic ich nie usunie. Gdy dziecko jest już pełnoletnie, rodzic powinien usunąć jego profil sam (Ustawienia → profil dziecka).

11. Twoje prawa i jak z nich skorzystać

Masz prawo do: dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania oraz wycofania zgody w dowolnym momencie — co nie wpływa na zgodność z prawem przetwarzania sprzed wycofania.

Bezpośrednio w aplikacji, bez kontaktu z nami:

• Pobranie wszystkich swoich danych (art. 15 i 20 RODO) — Ustawienia → Pobierz moje dane. Dostajesz plik ZIP; dokumenty dziecka są w nim odszyfrowane na Twoim telefonie, dlatego przed pobraniem aplikacja prosi o Face ID, Touch ID albo kod blokady. Telefon bez kodu blokady nie pobierze eksportu — wtedy wyślemy kopię danych na Twoją prośbę, ale bez dokumentów oraz tych danych o zdrowiu, pomiarów wzrostu i wagi i numeru PESEL, które są zaszyfrowane end-to-end — ich nie możemy odszyfrować.
• Usunięcie konta i danych (art. 17 RODO) — Ustawienia → Usunięcie danych i konta. Usunięcie następuje od razu.
• Wycofanie zgody na dane o zdrowiu i zgód marketingowych — Ustawienia → Zgody. Wycofanie zgody na dane o zdrowiu od razu usuwa dane o zdrowiu dziecka, chyba że drugi rodzic z dostępem do danych o zdrowiu dziecka ma własną zgodę (§9); przed wycofaniem możesz pobrać kopię danych. Numer PESEL dziecka usuniesz w ustawieniach dziecka.
• Poprawienie danych (art. 16 RODO) — bezpośrednio w profilu dziecka i koncie. Imię i datę urodzenia dziecka każdy z rodziców poprawia sam; drugi rodzic dostaje w aplikacji powiadomienie z poprzednią i nową wartością (powiadomienie push na telefon nie zawiera daty urodzenia).

Usunięcie konta i danych bez aplikacji

Konto usuniesz też na stronie parentloop.pl/usun-konto: podajesz adres e-mail konta i potwierdzasz usunięcie linkiem z wiadomości. Konto i dane usuwamy 7 dni po potwierdzeniu, w takim samym zakresie jak przy usuwaniu w aplikacji. Przez ten czas możesz odwołać usunięcie linkiem z drugiej wiadomości, a na telefony zalogowane na to konto wysyłamy powiadomienie — to ochrona przed sytuacją, w której ktoś, kto dostał się do Twojej skrzynki, usuwa Twoje konto. Jeśli pod podanym adresem nie ma konta, nic nie wysyłamy, a strona odpowiada tak samo — formularz nie zdradza, kto ma konto.

Nie masz już dostępu do adresu e-mail konta? Jeśli Twój telefon jest nadal zalogowany, usuń konto w aplikacji (Ustawienia → Usunięcie danych i konta) — e-mail nie jest do tego potrzebny. W przeciwnym razie najpierw spróbuj odzyskać dostęp do skrzynki u swojego dostawcy poczty. Jeśli się nie uda, napisz na kontakt@parentloop.pl z adresu, do którego masz dostęp. Dane z profilu zna zwykle także drugi rodzic, więc zanim usuniemy konto, potwierdzimy, że należy do Ciebie (art. 12 ust. 6 RODO): poprosimy o informacje związane z kontem, a w wyjątkowych przypadkach (gdy w profilu podano imię i nazwisko) możemy poprosić o kopię dokumentu tożsamości z zasłoniętym zdjęciem, numerem PESEL, datą urodzenia oraz serią i numerem dokumentu. Kopię dokumentu wykorzystujemy wyłącznie do tej weryfikacji i usuwamy zaraz po niej, zostawiając w korespondencji tylko adnotację o potwierdzeniu tożsamości. Konto usuwamy potem tak jak przy formularzu — po 7 dniach; na dotychczasowy adres konta i na zalogowane telefony wysyłamy powiadomienie z możliwością odwołania (chroni to konto, gdyby pisał ktoś inny), a Ty możesz w tym czasie odwołać usunięcie także w odpowiedzi na naszą wiadomość.

Usunięcie konta a drugi rodzic

Profil dziecka jest współdzielony. Jeśli usuniesz swoje konto, a drugi rodzic nadal korzysta z ParentLoop, dane dziecka pozostaną dostępne dla niego — jest on odrębnym użytkownikiem z własną podstawą przetwarzania. Usuwane są Twoje dane konta oraz te dane, dla których jesteś jedynym powiązanym rodzicem. Aplikacja pokazuje przed usunięciem, co dokładnie zniknie, a co zostanie.

Drugi rodzic dostaje powiadomienie, że konto zostało usunięte — bez Twojego imienia. Wysłane przez Ciebie wiadomości zostają w jego rozmowie, z oznaczeniem „Usunięty użytkownik” zamiast Twojego imienia i bez powiązania z Twoim kontem: to także jego korespondencja w sprawach dziecka, a ich usunięcie odebrałoby mu możliwość wykazania, co zostało ustalone (art. 6 ust. 1 lit. f oraz art. 17 ust. 3 lit. e RODO). Możesz wnieść sprzeciw wobec pozostawienia wszystkich albo wybranych wiadomości (art. 21 ust. 1 RODO), pisząc na kontakt@parentloop.pl (jeśli konto zostało już usunięte, podaj imię dziecka oraz przybliżoną datę i treść wiadomości, abyśmy mogli je odnaleźć). Rozpatrzymy go bez zbędnej zwłoki, najpóźniej w ciągu miesiąca, ważąc Twoją szczególną sytuację, interes drugiego rodzica i dobro dziecka:

• Uwzględniamy sprzeciw i usuwamy wiadomość (albo jej odpowiedni fragment) także u drugiego rodzica, gdy jej pozostawienie zagraża Twojemu bezpieczeństwu (np. zdradza Twój nowy adres albo miejsce pracy, a wskażesz przemoc, nękanie albo zakaz zbliżania się), gdy dotyczy wyłącznie Ciebie albo osób trzecich, a nie spraw dziecka, gdy została wysłana przez pomyłkę i nie oparto na niej żadnego ustalenia, albo gdy drugi rodzic zgodzi się na jej usunięcie.
• Odrzucamy sprzeciw, gdy wiadomość dokumentuje ustalenia w sprawie dziecka (opieka, przekazania, wyjazdy, leczenie, szkoła, wydatki), jest dowodem w toczącym się albo zapowiedzianym postępowaniu, dotyczy zgłoszonego naruszenia regulaminu (np. groźby) albo gdy jej usunięcie zmieniłoby sens odpowiedzi drugiego rodzica.

Żądania sądów, organów i drugiego rodzica

• Dane udostępniamy sądom, prokuraturze, policji i innym organom tylko wtedy, gdy wymaga tego przepis prawa — po sprawdzeniu podstawy żądania i wyłącznie w zakresie, którego ono dotyczy.
• Nie przekazujemy jednemu rodzicowi danych drugiego rodzica ponad to, co już widzi w aplikacji. Jeśli potrzebujesz materiału do sprawy sądowej, skorzystaj z eksportu danych (Ustawienia → Pobierz moje dane).
• Eksport i zapisy z aplikacji nie są dokumentami urzędowymi. Nie gwarantujemy, że sąd lub organ uzna je za dowód określonej treści albo daty.

Kontakt i skarga

W każdej z tych spraw możesz też napisać na kontakt@parentloop.pl — odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Przysługuje Ci również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

12. Bezpieczeństwo

• Dostęp do danych każdego dziecka jest egzekwowany na poziomie bazy danych, a nie tylko w aplikacji — rodzic bez uprawnienia do danego dziecka nie odczyta jego danych nawet z pominięciem aplikacji.
• Połączenia z aplikacji są szyfrowane (TLS), a dane w bazie i w plikach są szyfrowane w spoczynku.
• Dokumenty dziecka, a gdy wszystkie osoby z dostępem do danych o zdrowiu dziecka mają klucz, także dane o zdrowiu, są dodatkowo szyfrowane end-to-end (§5).
• Przy zakładaniu konta i zmianie hasła odrzucamy hasła, które wyciekły w znanych incydentach. Sprawdza to nasz serwer: do usługi Have I Been Pwned wysyła tylko krótki fragment skrótu hasła, nigdy samo hasło ani adres IP Twojego telefonu.
• Gdy po pierwszej dobie od założenia konta ktoś zaloguje się na Twoje konto rodzica, dostajesz powiadomienie w aplikacji oraz — jeśli masz włączone powiadomienia — na telefon, z przybliżonym rodzajem urządzenia (iPhone lub iPad, telefon lub tablet z Androidem, przeglądarka internetowa albo inne urządzenie). W Ustawieniach → Prywatność i dane → Zalogowane urządzenia widzisz aktywne sesje (od kiedy konto jest zalogowane i kiedy urządzenie było ostatnio aktywne) i możesz wylogować dowolne urządzenie; dostęp wygasa najpóźniej w ciągu godziny. Usługa logowania zapisuje na czas sesji adres IP oraz informację techniczną wysyłaną przez aplikację lub przeglądarkę (User-Agent), z której odczytujemy wyłącznie rodzaj urządzenia; adresu IP nigdzie nie pokazujemy ani nie dołączamy do eksportu danych. Podstawa: wykonanie umowy (art. 6 ust. 1 lit. b RODO — obsługa sesji) oraz nasz i Twój prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO — bezpieczeństwo konta i ochrona przed nieuprawnionym dostępem; odbiorcy powiadomień i hostingu — §8). Sesja znika z listy po wylogowaniu, po automatycznym wygaśnięciu z powodu bezczynności albo wraz z usunięciem konta, a samo powiadomienie w aplikacji przechowujemy przez 180 dni (§9).
• Historia wpisów zdrowotnych (wizyty, szczepienia, diagnozy, wyniki badań, hospitalizacje) jest zapisywana w trybie tylko-do-dopisywania — korekta tworzy nowy wpis, zamiast nadpisywać poprzedni.

13. Dostęp zespołu ParentLoop

Dostęp do danych produkcyjnych ma wyłącznie wąskie, imiennie wskazane grono osób z zespołu ParentLoop, wyłącznie w celu obsługi technicznej, wsparcia użytkowników i rozpatrywania zgłoszeń nadużyć — nigdy w celach marketingowych. Zaszyfrowanych dokumentów, numeru PESEL ani zaszyfrowanych danych o zdrowiu (§5) zespół nie jest w stanie odczytać w żadnym trybie.

14. Dzieci i ParentLoop kids

Aplikacja ParentLoop jest przeznaczona wyłącznie dla osób dorosłych — rodziców i opiekunów. Dla dzieci w wieku od 7 do 16 lat istnieje osobna aplikacja, ParentLoop kids:

• Dostęp dziecku zakłada rodzic: aplikacja rodzica pokazuje jednorazowy kod QR, ważny 10 minut, który dziecko skanuje w ParentLoop kids. Dziecko nie podaje adresu e-mail, numeru telefonu ani hasła. Umowę z nami zawiera rodzic, nie dziecko.
• Dziecko widzi: u którego rodzica jest danego dnia, wydarzenia z kalendarza wraz z listą rzeczy do spakowania, plan lekcji z salą i nauczycielem oraz zajęcia dodatkowe, swoje obowiązki domowe oraz swoje kieszonkowe z ostatnich 8 tygodni (same kwoty) — kwoty rodzic może przed dzieckiem ukryć. Aplikacja nie porównuje dziecka z rodzeństwem.
• Dziecko nie widzi wiadomości między rodzicami, dokumentów, danych o zdrowiu ani wydatków i rozliczeń.
• Z telefonu dziecka zapisujemy tylko to, co potrzebne do działania: powiązanie urządzenia z profilem dziecka, obowiązki, które dziecko odhaczy, wydarzenia, które samo doda do kalendarza, token powiadomień push oraz język telefonu (żeby wysyłać powiadomienia we właściwym języku). Dziecko może ustawić na swoim profilu PIN; zostaje on wyłącznie na urządzeniu i nie trafia na nasz serwer.
• Wygląd ParentLoop kids dobieramy do wieku dziecka: dziecko poniżej 16 lat dostaje nowy wygląd z tapetą, a starsze albo takie, którego daty urodzenia nie znamy — dotychczasowy. Wiek liczymy na telefonie dziecka z daty urodzenia, którą rodzic wpisał w profilu dziecka, i nigdzie go nie zapisujemy. Dziecko może zmienić wygląd w Profilu; ten wybór zostaje tylko na urządzeniu.
• Dziecko może dodać do swojego kalendarza własne wydarzenie (np. sprawdzian, trening albo niespodziankę dla rodzica) i samo zdecydować przełącznikiem „Pokaż rodzicom”, czy rodzice je zobaczą. Takie wydarzenie zapisujemy na naszym serwerze. Jeśli dziecko go nie udostępni, rodzice nie widzą go w swojej aplikacji ani w eksporcie danych. Usuwamy je, gdy dziecko je skasuje, albo razem z profilem dziecka lub kontem.
• Każdy rodzic uprawniony do danych dziecka może w każdej chwili odwołać dostęp dziecka — ze skutkiem natychmiastowym. Gdy jeden rodzic założy dziecku dostęp, drugi dostaje o tym powiadomienie.

15. Strona internetowa: pliki cookie i lista oczekujących

Ta strona nie używa plików cookie do celów marketingowych ani analitycznych. Aplikacja mobilna nie zawiera żadnych zewnętrznych narzędzi śledzących ani reklamowych.

Dopóki aplikacja nie jest dostępna w sklepach, na stronie można zapisać się na listę oczekujących. To jest inny cel niż korzystanie z aplikacji, więc opisujemy go osobno:

• Co zbieramy: adres e-mail, język strony, informację o tym, z którego formularza pochodzi zapis, datę zapisu, datę potwierdzenia oraz wersję treści formularza, którą zaakceptowałeś. Nic poza tym — nie pytamy o imię ani o jakiekolwiek dane dziecka.
• Po co: żeby wysłać jedną wiadomość w dniu premiery aplikacji. Nie prowadzimy newslettera i nie przekazujemy adresu nikomu dalej.
• Podstawa prawna: Twoja zgoda (art. 6 ust. 1 lit. a RODO). Po wysłaniu formularza dostajesz jeden e-mail z linkiem; zgodę wyrażasz, klikając „Potwierdź” na stronie, do której prowadzi. Link działa 7 dni. Bez potwierdzenia nie wyślemy Ci nic poza tym linkiem — dzięki temu nikt nie zapisze na listę cudzego adresu.
• Jak długo: niepotwierdzony zapis usuwamy po 30 dniach. Potwierdzony — po wysłaniu powiadomienia o premierze, a jeśli premiera się opóźni, nie później niż 24 miesiące od zapisu.
• Wycofanie zgody: w każdej chwili, jednym mailem na adres z punktu 17. Usuwamy wtedy adres z listy i nie wysyłamy nic więcej.
• Gdzie trafiają dane: formularz obsługuje Cloudflare (hosting strony), adres zapisujemy w bazie Supabase w Unii Europejskiej — tam, gdzie dane aplikacji — a e-mail z linkiem wysyła Brevo (punkt 8).

Zapis na listę oczekujących nie zakłada konta w aplikacji i nie jest w żaden sposób połączony z kontem, jeśli założysz je później.

16. Zmiany polityki

Tę politykę aktualizujemy, gdy zmienia się to, co robimy z danymi. E-mailem na adres przypisany do konta, co najmniej 14 dni przed wejściem zmiany w życie, poinformujemy Cię, gdy zaczniemy wykorzystywać dane już zebrane w nowym celu albo w nowy sposób, gdy dodamy nowego dostawcę albo gdy zmieni się administrator danych. Nową, dobrowolną funkcję — z której nie musisz korzystać i która nie zmienia tego, co dzieje się z danymi już zapisanymi — opisujemy w polityce w dniu jej udostępnienia i informujemy o niej w aplikacji; datę i numer wersji znajdziesz na górze tej strony. Jeśli zmiana wymaga nowej zgody, poprosimy o nią osobno — dalsze korzystanie z aplikacji nie zastępuje zgody. Zapisujemy, którą wersję polityki zaakceptowałeś.

17. Kontakt

W sprawach dotyczących niniejszej polityki: kontakt@parentloop.pl. Adres do korespondencji listownej: ParentLoop sp. z o.o., ul. Grójecka 210, 02-390 Warszawa.

ParentLoop Privacy Policy

Last updated: 1 November 2026 · version 4.22

1. Who is responsible for your data

The controller of personal data processed in the ParentLoop and ParentLoop kids apps and on parentloop.pl is ParentLoop sp. z o.o. (a Polish limited liability company), registered office at ul. Grójecka 210, 02-390 Warszawa, Poland, entered in the Register of Entrepreneurs of the National Court Register (KRS) kept by the Sąd Rejonowy dla m.st. Warszawy w Warszawie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego (District Court for the Capital City of Warsaw, 12th Commercial Division of the National Court Register), KRS number 0001272931, NIP (tax ID) 7011335937, REGON 545952514, share capital PLN 5,000.00.

Data protection contact: kontakt@parentloop.pl. We have not appointed a data protection officer — at our current scale of processing one is not required; we will revisit this as that scale grows.

2. In short

This summary does not replace the text below — the full policy is what binds.

3. What we process, why, and on what legal basis

We do not collect device location, we do not profile users, we make no automated decisions producing legal effects, and we use no advertising SDKs or cross-app tracking analytics. We do not send your data or your children's data to external artificial intelligence services (such as chatbots or cloud-based AI models), and we do not use it to train AI; text from photos and pasted addresses are read on your phone (§7).

Pre-launch testing. If you test the app before launch, we also process: the email address of your Google or Apple account on the tester list in Google Play or TestFlight, the correspondence with your invitation and your confirmation that you accept the Terms, feedback you send through Google Play, TestFlight or email (from TestFlight also attached screenshots, crash reports, phone model and system version) and your answers to the post-test survey. We do this to give you the test version (GDPR Art. 6(1)(b)) and to improve the app based on your feedback (our legitimate interest, Art. 6(1)(f); you can object, §11). Taking part in testing, feedback and the survey are voluntary. Do not send screenshots showing health data or a PESEL number with your feedback. What you enter in the app stays in your account after launch, as for every user.

Reading the app's version from your phone does not require your consent, because it is strictly necessary to provide the service you use (Art. 399 of the Polish Electronic Communications Law): without it we cannot tell whether a bug fix has reached you. We do not record a device identifier, your IP address or which features of the app you use, and we keep no history — each time the app opens, it overwrites the previous record.

Which data is required. To create an account we need your first name and email address (and a password, unless you sign in with a link sent by email), and to add a child — their first name. When adding a child, you also represent that you hold parental authority or custody over them, or help care for them at a parent's invitation; without this statement you cannot add the child. Providing data is voluntary and no law requires it, but without the data listed above we cannot enter into the agreement and you cannot create an account. Everything else (for example date of birth, photo, PESEL number, health data, documents, entries, feedback) is up to you; if you leave something out, only the feature that needs it stops working — for example, without a date of birth the app will not suggest age-appropriate chores.

4. Data you did not give us yourself

ParentLoop works by design so that one parent enters data about the child, and sometimes about the other parent (for example the days the child spends with them, handovers and expenses that concern them). This means we may process data about a person who did not provide it to us themselves.

• Source: the other parent or guardian using ParentLoop.
• Scope: the categories listed in §3.
• Birthday guests: if a parent enters the first names of guests invited to the child's birthday, we store the first name only — no surname or contact details. Only that child's parents can see them, and they are deleted with the birthday plan or with the account. We do not know these children or their parents, and finding out who they are would mean collecting more data, so we do not inform them directly (GDPR Art. 14(5)(b)).
• Teachers: if a parent types in a lesson plan or reads one from a photo, we store the teacher next to the lesson as it was given — no contact details. That child's parents and the child in ParentLoop kids can see it, and it is deleted with the lesson plan or with the account. We have no contact details for teachers, and looking them up would mean collecting more data, so we do not inform them directly (GDPR Art. 14(5)(b)).
• Other people a parent enters: the child's doctor (in the health data) or a person named in an event, such as a coach. We store only what the parent provides. The basis is our legitimate interest in letting parents organise care and have this information to hand in an emergency (GDPR Art. 6(1)(f)). We do not inform these people directly (GDPR Art. 14(5)(b)): we have no contact details for them and no relationship with them, and finding a contact or writing to a doctor or coach would mean collecting more data and would tell them that the family uses the app and how it cares for the child. Only the child's parents see them, and calendar entries also the child in ParentLoop kids; we delete them together with the entry or the account.
• Once an invited parent joins, they see the same child data and may correct it, add to it, and exercise every right described in §11.
• How the other parent finds out: you send the invitation yourself — from your own email or messaging app; we never receive the other parent's email address or phone number. When the other parent joins, they see this policy while creating their account. Until they join we have no way to contact them, so we do not inform them directly (GDPR Art. 14(5)(b)); this policy is publicly available, and the invitation text the app prepares for you to send includes a link to it.
• How we protect these people's rights: instead of informing them directly, we publish this policy at parentloop.pl/privacy; the data entered is visible only to the child's family; we send these people nothing, do not profile them and do not use their data for marketing; and we delete it together with the entry or the account. Any of these people can object or ask for their data to be erased by writing to the address in §17.
• The parent entering a child's data confirms they are entitled to do so, normally through parental authority. ParentLoop does not verify or adjudicate disputes about parental authority or the scope of custody.

5. Documents and health data — end-to-end encryption

A child's documents (court rulings, settlements, parenting plans) are encrypted on the parent's device before they leave the phone. Both the file content and its title are encrypted. Private keys never leave the parents' devices. The document's type (for example a passport) and its expiry date are not encrypted — that is how the app reminds you that a document is about to expire and compares the date with the dates of a trip.

We encrypt the child's health data the same way, separately for each child. The health-data key is created automatically on the phone of a parent who has access to that data, has consented to health data and has a document key on their phone (encryption can also be switched on manually in Settings); passing the key to the other parent or a caregiver requires one confirmation (comparing the key fingerprint). Encryption takes effect once everyone with access to that child's health data — the parents, and a caregiver if granted that permission — has the key. Allergies, medication, chronic conditions, blood type, notes, records (visits, vaccinations, diagnoses, test results, hospital stays) and height and weight measurements are then encrypted on the phone before they reach our server; on the server we can still see that a record exists, its date and who added it. Until everyone with access to that child's health data has the key, the data is stored as before — protected, but not end-to-end — and the app shows who it is waiting for.

The child's PESEL number, if you enter it, is always encrypted on the phone — separately for each parent, with that parent's document key — before it reaches our server. We cannot read it. On the server we can only see that a number has been saved and for which parents. Saving the number requires a document key.

In practice this means neither we nor our hosting provider can read this data — not even if we wanted to, and not even if someone gained access to the database. The trade-off: if you lose access to all of your devices without backing up your key, we cannot recover those documents or the encrypted health data, height and weight measurements, or PESEL number.

Key backup in a passkey. You can back up your key by saving a passkey in Apple Passwords or Google Password Manager. We then store an encrypted copy of your key that only that passkey can open — we cannot. You can delete the backup in the document key settings; it also disappears when you change your key, and together with your account. Anyone who knows the password to your Apple or Google account and the passcode of one of your devices can use that passkey.

Where to enter health information. End-to-end encryption and the health-data consent cover the health section and health documents. In expenses, messages and the calendar, write only what is needed to organise things (for example “doctor's appointment”, “pharmacy”), and keep the details of the child's health in the health section.

6. Messages between parents

We want to be straightforward here: messages are not end-to-end encrypted. They are stored on our server in readable form. This follows from two features we judged more important to families' safety than full encryption:

• Profanity filter — message text is checked automatically before it is saved, and detected profanity is masked. This is automated text processing with no human involvement.
• Abuse reporting and pausing a conversation — a parent can report a message. A reported message may be read by a designated member of the ParentLoop team in order to handle the report. Outside that case, nobody on the team reads parents' correspondence. Either side of a conversation can also pause it: until the person who paused it resumes it, nobody in that conversation can send a new message. We record who paused and resumed the conversation and when; both sides see this in the conversation and in its export, and the other side is notified. After a report we may also hide an unlawful message for both sides (the conversation shows that ParentLoop hid it, and we keep its text as evidence for an appeal or for law enforcement) or pause the conversation; only we can resume a conversation paused this way.

If we restrict your account after a report, we will give you the reasons for the decision and you can appeal it — the Terms of Service describe how.

If you need to pass the other parent something you would rather not entrust to a server, use encrypted documents (§5).

7. Text recognition from photos: receipts and the lesson plan

Reading amounts and dates from receipts happens locally on your device. Neither the receipt photo nor the text read from it is sent to any third-party text recognition service. Only the photo saved against the expense, and the extracted values if you confirm them, reach our server. On Android phones we use the Google ML Kit library to read text on the device, which sends Google diagnostic data about the device and the recognition run (without the photo or the recognized text — §8).

You can read a lesson plan from a photo as well. The text is read on your phone, and the app's copy of the photo is deleted as soon as it has been read — neither the photo nor the text read from it ever reaches our server or any third-party service (on Android, the Google ML Kit library sends Google diagnostic data only — §8). We store only the lessons you confirm.

Pasting an address from a message or note into an event reads the address on your phone and sends it nowhere. On an iPhone the phone's system does this. On Android we use the Google ML Kit library for it, but only if you agreed to ML Kit when reading a receipt or lesson plan (you can withdraw this in Settings → Consents); on first use it downloads a language model from Google and sends Google diagnostic data only, never the pasted text (§8). Without that consent we paste the address exactly as you copied it.

8. Who we entrust data to

Data in the app is visible only to the parents and guardians linked to that child's profile. We use providers who process data solely on our instructions, under data processing agreements:

The database and files are stored in the European Union. Transfers outside the EEA (push delivery and app updates) rely on the European Commission's adequacy decision (the EU–US Data Privacy Framework, for certified entities) and the European Commission's Standard Contractual Clauses.

Address suggestions come from Google Maps Platform (Places API). When you type an event's address, the phone sends the typed text directly to Google LLC (USA), which also sees the phone's IP address. Google processes this as a separate controller, under its own terms (the Google Maps controller data protection terms and Google's privacy policy), not on our instructions — which is why it is not in the table above. Only what you type into the address field reaches Google, without your account data or your child's name. Reading text from photos on Android: when reading text from a receipt or lesson plan photo (§7), the Google ML Kit library stores its own installation identifier on the phone and reads and sends to Google LLC (USA) diagnostic data about the device and the recognition run: device manufacturer, model and OS version, available hardware accelerators, app name and version, the library's installation identifier, execution times, image format and resolution, input and output size, feature version, event type and error codes (on connection Google also sees the phone's IP address) — never the photo itself or the text read from it. Google processes these data as a separate controller for diagnostics and usage analytics of the ML Kit library, under the Google APIs / ML Kit terms of service and Google's privacy policy. The transfer of data to the USA relies on the European Commission's adequacy decision for the EU–US Data Privacy Framework (provided Google LLC holds active certification under it) or on Standard Contractual Clauses.

Phone calendar. If you turn on the calendar subscription in Settings, we create a private link that you add to a calendar of your choice (e.g. Apple Calendar and iCloud, Google Calendar, Outlook). That service fetches the data described in §3 from our server every few hours and keeps it under its own terms — as a separate controller that you choose, not on our instructions — which is why it is not in the table above. Some of these services process data outside the EEA, e.g. in the USA. The link works like a password: anyone who has it sees the same data, so do not share it. You can turn it off or create a new one at any time — the old one stops working at once. The calendar also includes custody days and events added by the other parent that you see in the app; the other parent sees in the app that your subscription is on.

The same applies on Android when you paste an address into an event (§7), if you have agreed to ML Kit: the pasted text never leaves the phone.

Once payments are switched on, subscriptions will be handled only by Apple (App Store) or Google (Google Play), acting as separate controllers of payment data under their own terms. We never see your card number; we only learn that a subscription is active, and its identifier. The subscription status will be checked for us by RevenueCat (RevenueCat, Inc., USA) as a processor, under the European Commission's adequacy decision for the EU–US Data Privacy Framework (provided it holds active certification under it) or the Standard Contractual Clauses: it will receive a random family identifier — no names or email addresses — the purchase data passed on by the store, and basic technical data about the phone (system, app version, store country). We will tell you about this by email before payments start (§16).

Testing in Google Play and TestFlight. The test version of the app, its updates, and feedback and crash reports sent through Google Play or the TestFlight app are handled by Google (Google Ireland Limited and Google LLC, USA) or Apple (Apple Distribution International Ltd. and Apple Inc., USA) as separate controllers, under the rules of the Google Play and TestFlight testing programmes. They make the course of testing and the feedback you send available to us in their consoles (§3). Data is transferred to the USA on the basis of the European Commission’s decision on the EU–US Data Privacy Framework or standard contractual clauses.

A day’s plan you send yourself. When your children live in one home, you can send the day’s plan from Home to someone without an account, such as a grandparent or a sitter: the date, the children’s first names, the day’s events with time and place, when school or preschool ends, and the first name of the person picking the child up. You send it yourself, with the app you choose, to the person you choose. ParentLoop sends nothing and keeps no record of who you sent it to. Once sent, that copy is outside ParentLoop: we cannot correct or delete it.

9. How long we keep data

• Account and child data — for as long as you use the app. We delete it when you delete your account (§11).
• Calendar link (§8) — works until you turn it off or create a new one, and expires when your account is deleted. We keep no separate copy of the calendar — the data is put together on each request. Events your calendar has already fetched may stay there until you remove the subscription from your calendar.
• Individual entries (an expense, event, document, measurement) — until the parent deletes them in the app.
• Health records (visits, vaccinations, diagnoses, test results, hospitalisations) are append-only: a correction creates a new entry, and a single entry cannot be erased from within the app. We delete them together with your account, or on request by email. When you withdraw consent to health data, we immediately delete all the child's health data, including health documents, unless the other parent with access to the child's health data has given their own consent — in which case they remain for them, and you stop seeing them (the consent of a caregiver who is not the child's parent does not keep them). Before withdrawing consent, you can download a copy of your data (§11). On the child's 18th birthday we delete the health data (§10).
• Consent history — retained after consent is withdrawn and after account deletion, to the minimum extent needed to show consent was given (the date and the document version; GDPR Art. 7(1)) — for 3 years from the end of the year in which consent was withdrawn or the account was deleted.
• Correspondence about your GDPR rights (your request, for example to provide or erase data, and our reply) — for 3 years from the end of the year in which we closed the matter, as proof that we dealt with it. Copies of identity documents and court orders sent to verify a request are deleted immediately after we check them (only a note confirming the verification remains in the correspondence kept for 3 years). Account deletion requests made on the website have their own, shorter period (below).
• Reports of messages and the decisions on them — for 3 years from the end of the year in which we closed the case, also if you delete your account in the meantime (then no longer linked to it), as evidence that we handled the report as the Digital Services Act (DSA) requires and in case of claims (GDPR Art. 6(1)(c) and (f)). We delete the text of a message hidden after a report together with the case, or earlier together with the message.
• App version — one record per phone system, overwritten each time the app opens. We delete it together with your account.
• Free access granted to an email address — if no account with that address exists yet, the invitation waits for at most 90 days, then we delete the address. Once the account is created, only the link to the account remains; we keep the information about the access, the tester flag and the team’s note until the account is deleted.
• Feedback and survey answers — for as long as your account exists; we delete them together with your account and they are part of your data export. Only the ParentLoop team reads them; the other parent does not see them. Feedback is also emailed to the team's mailbox — we will delete that copy at your request.
• Pre-launch testing data — we remove your address from the tester list in Google Play and TestFlight when your part in testing ends, at the latest 30 days after launch in that store. We keep feedback and crash reports from Google Play and TestFlight and your post-test survey answers for up to 12 months after testing ends. We keep the email in which you accept the Terms in the same way as the consent history.
• A child's ParentLoop kids access — until a parent revokes it, the child's profile is deleted, or the account is deleted.
• Birthday plans (guests, presents, reservations) — until a parent deletes the plan, or together with the account.
• Key backup in a passkey — until you delete it in settings, change your key, or delete your account.
• Messages between parents — a sent message cannot be edited or deleted in the app, because the conversation is a shared record of what was agreed about the child; after a report the team can only hide an unlawful message (§6). We keep messages for as long as someone in the family has an account, and delete them when the last person in the family deletes their account. When one parent deletes their account, their messages stay in the other parent's conversation, labelled “Deleted user” instead of their name and no longer linked to an account, until the other parent deletes their own account or we uphold an objection (§11). We keep the record of pauses and resumes in the same way as the messages.
• In-app notifications — 180 days from when they were sent, then deleted automatically. When someone deletes their account, their name is removed from other people's notifications; when a child's data is deleted, the child's name is removed from them.
• Account deletion requests from the website — the email address until the account is deleted or the request is cancelled (an unconfirmed request: 30 days). After that, only a hash of the address and the dates are kept for 90 days, as proof that we carried out the request; then they are deleted too.
• Child data after the child turns 18 — health data and the PESEL number are deleted on the eighteenth birthday, the rest of the data three months later (§10).
• Database backups — made daily and kept for 7 days. Deleted data is gone from them after that time at the latest; we only reach for a backup to restore the database after a failure.

10. When a child turns 18

The legal basis for processing a child's data is the performance of parental authority or custody by the parents (GDPR Art. 6(1)(f)), and for health data and the PESEL number — parental consent. On their eighteenth birthday parental authority ends — from then on the adult decides about their own data. So the app stops accepting new data about that person.

We delete health data and the PESEL number on the eighteenth birthday (if the parents did not get the notice about 30 days before the birthday, we delete them 4 weeks after the notice). We processed them on the basis of a parent's consent given on the child's behalf, and that basis ends together with parental authority. About 30 days before, parents with access to this data get a notification so that they can download a copy in time (Settings → Download my data). Height and weight measurements stay with the rest of the data.

Other data already stored stays visible, exportable and deletable for three months (our legitimate interest: parents can calmly download the shared record, and the adult can object to this — Art. 6(1)(f) GDPR) — locking someone out of their own data would be the opposite of what the GDPR is for. After three months we delete it; the app shows the parents the exact date. An adult whose data is held in ParentLoop may, during that time, ask us to provide or erase it. Such a person has no account in the app, so we confirm their identity with them directly: we ask for a few details from their former profile (for example their name, date of birth and which parent it was linked to) and reply to the email address they wrote from. We ask for an identity document only if we have reasonable doubts (Art. 12(6) GDPR), and we involve a parent linked to their former profile only with their consent. If we ask for a document, please cover the photo, PESEL number, and the document series and number (first name, surname, date of birth and expiry date are enough), and we delete the copy immediately after verification. We cannot decrypt or provide a copy of documents or end-to-end encrypted health data, height and weight measurements, and PESEL number (§5), but we can delete them together with the entire profile. A parent who downloads the export can pass a copy of the encrypted data on to the adult.

If a parent did not give the child's date of birth, the app does not know when the child turns 18, so the record does not close on its own: the data stays until a parent deletes it. Once the child is an adult, the parent should delete the child's profile themselves (Settings → the child's profile).

11. Your rights and how to use them

You have the right to access your data, to have it rectified or erased, to restrict its processing, to data portability, to object to processing and to withdraw consent at any time — without affecting the lawfulness of processing carried out before withdrawal.

Directly in the app, without contacting us:

• Download all your data (Art. 15 and 20 GDPR) — Settings → Download my data. You get a ZIP file; the child's documents in it are decrypted on your phone, which is why the app asks for Face ID, Touch ID or your passcode before downloading. A phone without a passcode set cannot download the export — in that case we will send a copy of your data at your request, but without the documents and any health data, height and weight measurements, and PESEL number that are end-to-end encrypted, because we cannot decrypt them.
• Delete your account and data (Art. 17) — Settings → Delete data & account. Deletion happens immediately.
• Withdrawal of consent to health data and marketing consents — Settings → Consents. Withdrawing health data consent immediately deletes the child's health data, unless the other parent with access to the child's health data has their own consent (§9); you can download a copy of your data before withdrawing. You can remove the child's PESEL number in the child's settings.
• Correct your data (Art. 16) — directly in the child profile and account. Either parent corrects the child's name and date of birth on their own; the other parent gets an in-app notification with the old and the new value (the push notification to the phone does not include the date of birth).

Deleting your account and data without the app

You can also delete your account at parentloop.pl/delete-account: enter your account's email address and confirm with the link in the message we send. Your account and data are deleted 7 days after you confirm, to the same extent as when you delete them in the app. During that week you can cancel with the link in a second message, and the phones signed in to the account get a notification — this protects you from someone who got into your mailbox deleting your account. If there is no account at the address you enter, we send nothing, and the page responds the same way — the form does not reveal who has an account.

No longer have access to your account's email address? If your phone is still signed in, delete the account in the app (Settings → Delete data & account) — no email is needed. Otherwise, first try to recover access to your mailbox with your email provider. If that fails, write to kontakt@parentloop.pl from an address you can access. Because the other parent usually knows the details in your profile too, before we delete the account we will confirm that it is yours (GDPR Art. 12(6)): we will ask for information related to the account, and in exceptional cases (where your profile includes your first and last name) we may ask for a copy of an identity document with the photo, national ID number (PESEL), date of birth and document number covered. We use the copy only for this check and delete it as soon as it is done, keeping only a note in the correspondence that your identity was confirmed. We then delete the account the same way as with the form — after 7 days; we send a notice with a way to cancel to the account's existing email address and to signed-in phones (this protects the account if someone else wrote to us), and during that time you can also cancel by replying to our email.

Account deletion and the other parent

A child's profile is shared. If you delete your account while the other parent still uses ParentLoop, the child's data remains available to them — they are a separate user with their own basis for processing. What gets deleted is your account data and any data for which you are the only linked parent. Before deleting, the app shows you exactly what will disappear and what will remain.

The other parent is notified that the account was deleted — without your name. Messages you sent stay in their conversation, labelled “Deleted user” instead of your name and no longer linked to your account: they are also the other parent's correspondence about the child, and deleting them would take away their ability to show what was agreed (GDPR Art. 6(1)(f) and Art. 17(3)(e)). You can object to keeping all or selected messages (GDPR Art. 21(1)) by writing to kontakt@parentloop.pl (if your account has already been deleted, please give the child's first name and the approximate date and content of the messages so that we can locate them). We will consider your objection without undue delay and within one month at the latest, weighing your particular situation, the other parent's interest and the child's best interests:

• We uphold the objection and delete the message (or the relevant part of it) for the other parent too if keeping it puts your safety at risk (for example, it reveals your new address or workplace and you point to violence, harassment or a restraining order), if it concerns only you or third parties rather than matters concerning the child, if it was sent by mistake and nothing was agreed on the basis of it, or if the other parent agrees to its deletion.
• We reject the objection if the message documents arrangements concerning the child (care, handovers, trips, medical treatment, school, expenses), is evidence in ongoing or announced proceedings, relates to a reported breach of the Terms of Service (for example, threats), or if deleting it would change the meaning of the other parent's replies.

Requests from courts, authorities and the other parent

• We disclose data to courts, prosecutors, the police and other authorities only where the law requires it — after checking the basis of the request, and only to the extent it covers.
• We do not give one parent the other parent's data beyond what they can already see in the app. If you need material for court proceedings, use the data export (Settings → Download my data).
• Exports and records from the app are not official documents. We do not guarantee that a court or authority will accept them as proof of particular content or of a date.

Contact and complaints

For any of the above you may also write to kontakt@parentloop.pl — we respond without undue delay and within one month at the latest. You also have the right to lodge a complaint with the President of the Personal Data Protection Office (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Stawki 2, 00-193 Warsaw, Poland.

12. Security

• Access to each child's data is enforced at the database level, not only in the app — a parent without permission for a given child cannot read that child's data even by bypassing the app.
• Connections from the app are encrypted (TLS), and data in the database and file storage is encrypted at rest.
• A child's documents, and health data once everyone with access to the child's health data has the key, are additionally end-to-end encrypted (§5).
• When you create an account or change your password, we reject passwords that have leaked in known breaches. Our server runs the check: it sends the Have I Been Pwned service only a short fragment of the password's hash, never the password itself or your phone's IP address.
• When someone signs in to your parent account (after the first 24 hours from account creation), you get a notification in the app and — if you have notifications enabled — on your phone, with the approximate kind of device (iPhone or iPad, Android phone or tablet, web browser, or other device). In Settings → Privacy & data → Signed-in devices you see active sessions (since when the account has been signed in and when each device was last active) and can sign any device out; its access expires within an hour at most. For the duration of the session, the sign-in service records the IP address and technical information sent by the app or browser (User-Agent), from which we read only the kind of device; we never display the IP address or include it in data exports. Legal basis: performance of a contract (Art. 6(1)(b) GDPR — session management) and our and your legitimate interest (Art. 6(1)(f) GDPR — account security and protection against unauthorised access; recipients for hosting and notifications — §8). A session leaves the list when signed out, when it expires automatically due to inactivity, or when the account is deleted, while the in-app notification itself is kept for 180 days (§9).
• Health records (visits, vaccinations, diagnoses, test results, hospitalisations) are append-only — a correction creates a new entry rather than overwriting the previous one.

13. ParentLoop team access

Access to production data is limited to a small, named group within the ParentLoop team, solely for technical operations, user support and handling abuse reports — never for marketing. Encrypted documents, the PESEL number and encrypted health data (§5) cannot be read by the team under any circumstances.

14. Children and ParentLoop kids

The ParentLoop app is for adults only — parents and guardians. For children aged 7 to 16 there is a separate app, ParentLoop kids:

• A parent sets up the child's access: the parent's app shows a one-time QR code, valid for 10 minutes, which the child scans in ParentLoop kids. The child gives no email address, phone number or password. The contract is with the parent, not the child.
• The child can see: which parent they are with on a given day, calendar events with their packing lists, their lesson plan with the room and the teacher, their after-school activities, their chores, and their own pocket money for the last 8 weeks (amounts only) — a parent can hide the amounts from the child. The app does not compare the child with their siblings.
• The child cannot see messages between parents, documents, health data, or expenses and settlements.
• From the child's phone we store only what is needed for it to work: the link between the device and the child's profile, the chores the child ticks off, the events the child adds to their calendar, a push notification token, and the phone's language (so we can send notifications in the right language). The child can put a PIN on their profile; it stays on the device only and never reaches our server.
• We match the look of ParentLoop kids to the child's age: a child under 16 gets the new look with a wallpaper, and an older child, or one whose date of birth we do not know, gets the previous look. The age is worked out on the child's phone from the date of birth a parent entered in the child's profile and is never stored. The child can change the look in Profile; that choice stays on the device only.
• The child can add their own event to their calendar (for example a test, a training session or a surprise for a parent) and decide with the “Show my parents” switch whether the parents will see it. We store the event on our server. If the child does not share it, the parents do not see it in their app or in their data export. We delete it when the child deletes it, or together with the child's profile or the account.
• Any parent with rights to the child's data can revoke the child's access at any time, with immediate effect. When one parent sets up the child's access, the other parent is notified.

15. This website: cookies and the waitlist

This website uses no marketing or analytics cookies. The mobile app contains no third-party tracking or advertising tools.

While the app is not yet in the stores, the website offers a waitlist. That is a different purpose from using the app, so it is described separately here:

• What we collect: your email address, the language of the page, which form the signup came from, the signup date, the confirmation date, and the version of the form wording you agreed to. Nothing else — we do not ask for your name or for any information about a child.
• Why: to send you one email on the day the app launches. We do not run a newsletter and we do not pass your address to anyone.
• Legal basis: your consent (Art. 6(1)(a) GDPR). After you submit the form you get one email with a link; you give consent by pressing "Confirm" on the page it opens. The link works for 7 days. Without confirmation we send you nothing beyond that link — so nobody can sign up someone else's address.
• How long: an unconfirmed signup is deleted after 30 days. A confirmed one is kept until the launch notification has been sent, and if launch is delayed, no longer than 24 months from signup.
• Withdrawing consent: at any time, with one email to the address in section 17. We then remove you from the list and send nothing further.
• Where the data goes: the form is handled by Cloudflare (which hosts this site), the address is stored in Supabase in the European Union — the same place as app data — and the email with the link is sent by Brevo (section 8).

Joining the waitlist does not create an account, and it is not linked in any way to an account you may create later.

16. Changes to this policy

We update this policy when what we do with data changes. We will email you at the address on your account at least 14 days before the change takes effect when we start using data we already hold for a new purpose or in a new way, when we add a new provider, or when the controller changes. A new, optional feature — one you do not have to use and that does not change what happens to data already stored — is described in this policy on the day it becomes available, and we tell you about it in the app; the date and version number are at the top of this page. Where a change requires fresh consent, we will ask for it separately — continued use of the app is not a substitute for consent. We record which version of this policy you accepted.

17. Contact

For questions about this policy: kontakt@parentloop.pl. Postal address: ParentLoop sp. z o.o., ul. Grójecka 210, 02-390 Warszawa, Poland.

Zásady ochrany osobních údajů ParentLoop

Poslední aktualizace: 1. listopadu 2026 · verze 4.22

1. Kdo odpovídá za vaše údaje

Správcem osobních údajů zpracovávaných v aplikacích ParentLoop a ParentLoop kids a na stránkách parentloop.pl je ParentLoop sp. z o.o. (polská společnost s ručením omezeným) se sídlem ul. Grójecka 210, 02-390 Warszawa, Polsko, zapsaná v rejstříku podnikatelů polského obchodního registru (Krajowy Rejestr Sądowy) vedeném soudem Sąd Rejonowy dla m.st. Warszawy w Warszawie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego (Okresní soud pro hlavní město Varšavu ve Varšavě, XII. obchodní oddělení KRS), pod číslem KRS 0001272931, NIP 7011335937, REGON 545952514, základní kapitál 5 000,00 PLN.

Kontakt ve věcech ochrany osobních údajů: kontakt@parentloop.pl. Nejmenovali jsme pověřence pro ochranu osobních údajů — při současném rozsahu zpracování není vyžadován; k tomuto posouzení se vrátíme, jakmile rozsah vzroste.

2. Ve zkratce

Zkrácený přehled nenahrazuje text níže — závazné jsou celé zásady.

3. Jaké údaje zpracováváme, k čemu a na jakém základě

Neshromažďujeme údaje o poloze zařízení, nepoužíváme profilování ani automatizované rozhodování s právními účinky, nevyužíváme reklamní nástroje ani analytiku, která sleduje uživatele mezi aplikacemi. Vaše údaje ani údaje dětí neposíláme do externích služeb umělé inteligence (např. chatbotů nebo modelů AI běžících v cloudu) a nepoužíváme je k trénování AI; text z fotografií a vloženou adresu čteme přímo v telefonu (§7).

Testování před spuštěním. Pokud aplikaci testujete před jejím spuštěním, zpracováváme také: e-mailovou adresu vašeho účtu Google nebo Apple na seznamu testerů v Google Play nebo TestFlight, korespondenci s pozvánkou a potvrzením přijetí Podmínek, připomínky zaslané přes Google Play, TestFlight nebo e-mailem (z TestFlight také připojené snímky obrazovky, hlášení o pádech, model telefonu a verzi systému) a odpovědi v dotazníku po testování. Děláme to, abychom vám zpřístupnili testovací verzi (čl. 6 odst. 1 písm. b) GDPR) a na základě připomínek zlepšili aplikaci (náš oprávněný zájem, čl. 6 odst. 1 písm. f) GDPR; můžete vznést námitku, §11). Účast v testování, připomínky i dotazník jsou dobrovolné. V připomínkách neposílejte snímky obrazovky s údaji o zdraví ani s číslem PESEL. To, co do aplikace zadáte, zůstane na vašem účtu i po spuštění, stejně jako u každého uživatele.

Čtení verze aplikace z telefonu nevyžaduje váš souhlas, protože je nezbytné pro poskytování služby, kterou používáte (čl. 399 polského zákona o elektronických komunikacích — ustawa — Prawo komunikacji elektronicznej): bez něj nevíme, zda k vám oprava chyby dorazila. Nezaznamenáváme při tom identifikátor zařízení, IP adresu ani informaci o tom, které funkce aplikace používáte, a neuchováváme historii — každé otevření aplikace přepíše předchozí záznam.

Které údaje jsou povinné. K založení účtu potřebujeme vaše jméno a e-mailovou adresu (a heslo, pokud se nepřihlašujete odkazem z e-mailu) a k přidání dítěte — jeho jméno. Při přidání dítěte také prohlašujete, že k němu vykonáváte rodičovskou odpovědnost nebo péči, případně že o ně pomáháte pečovat na pozvání rodiče; bez tohoto prohlášení dítě nepřidáte. Poskytnutí údajů je dobrovolné a nevyžaduje ho žádný právní předpis, bez výše uvedených údajů však nemůžeme uzavřít smlouvu a účet nezaložíte. Vše ostatní (např. datum narození, fotografii, číslo PESEL, údaje o zdraví, dokumenty, záznamy, zpětnou vazbu) uvádíte, jen pokud chcete; když něco neuvedete, nefunguje jen funkce, která to potřebuje — např. bez data narození vám aplikace nenavrhne domácí povinnosti přiměřené věku.

4. Údaje, které jste nám nesdělili sami

ParentLoop svou povahou funguje tak, že jeden rodič zadává údaje týkající se dítěte a někdy také údaje druhého rodiče (např. dny, kdy je dítě u něj, předávání dítěte a výdaje, které se ho týkají). To znamená, že můžeme zpracovávat údaje osoby, která nám je sama nepředala.

• Zdroj údajů: druhý rodič nebo opatrovník používající ParentLoop.
• Rozsah: kategorie uvedené v §3.
• Hosté na narozeninách: pokud rodič zadá jména hostů pozvaných na narozeniny dítěte, ukládáme výhradně jméno — bez příjmení a kontaktu. Vidí je jen rodiče tohoto dítěte a mažeme je společně s plánem narozenin nebo s účtem. Tyto děti ani jejich rodiče neznáme a zjišťovat, kdo jsou, by znamenalo shromažďovat další údaje, proto je přímo neinformujeme (čl. 14 odst. 5 písm. b) GDPR).
• Vyučující: pokud rodič zadá rozvrh hodin nebo jej načte z fotografie, ukládáme u hodiny vyučujícího tak, jak byl uveden — bez kontaktních údajů. Vidí ho rodiče tohoto dítěte a dítě v ParentLoop kids a mažeme ho společně s rozvrhem hodin nebo s účtem. Kontakt na vyučující nemáme a jeho dohledávání by znamenalo shromažďovat další údaje, proto je přímo neinformujeme (čl. 14 odst. 5 písm. b) GDPR).
• Další osoby, které zadá rodič: lékař dítěte (v údajích o zdraví) nebo osoba uvedená v události, např. trenér. Ukládáme jen to, co rodič uvede. Právním základem je náš oprávněný zájem: rodiče díky tomu mohou zorganizovat péči a mít tyto informace po ruce v naléhavé situaci (čl. 6 odst. 1 písm. f) GDPR). Tyto osoby přímo neinformujeme (čl. 14 odst. 5 písm. b) GDPR): nemáme jejich kontaktní údaje ani s nimi žádný vztah a zjišťování kontaktu nebo psaní lékaři či trenérovi by znamenalo shromažďovat další údaje a prozradilo by jim, že rodina aplikaci používá a jak o dítě pečuje. Vidí je jen rodiče dítěte a záznamy v kalendáři i dítě v ParentLoop kids; mažeme je spolu se záznamem nebo s účtem.
• Pozvaný rodič po připojení vidí tytéž údaje dítěte a může je opravovat, doplňovat a využívat všechna práva popsaná v §11.
• Jak se o tom dozví druhý rodič: pozvánku posíláte sami — ze svého e-mailu nebo komunikátoru; e-mailovou adresu ani telefonní číslo druhého rodiče nedostáváme. Když se druhý rodič připojí, seznámí se s těmito zásadami při zakládání účtu. Dokud se nepřipojí, nemáme jak ho kontaktovat, a proto ho přímo neinformujeme (čl. 14 odst. 5 písm. b) GDPR); tyto zásady jsou veřejně dostupné a text pozvánky, který aplikace připraví k odeslání, obsahuje odkaz na ně.
• Jak chráníme práva těchto osob: místo přímého informování zveřejňujeme tyto zásady na parentloop.pl/privacy, zadané údaje vidí jen rodina dítěte, těmto osobám nic neposíláme, neprofilujeme je a jejich údaje nepoužíváme k marketingu a mažeme je spolu se záznamem nebo s účtem. Každá z těchto osob může vznést námitku nebo požádat o výmaz svých údajů na adrese uvedené v §17.
• Rodič, který zadává údaje dítěte, prohlašuje, že k tomu má právo — obvykle vyplývající z rodičovské odpovědnosti. ParentLoop neověřuje ani nerozhoduje spory o rodičovskou odpovědnost ani o rozsah péče.

5. Dokumenty a údaje o zdraví — šifrování end-to-end

Dokumenty dítěte (např. rozsudky, smíry, rodičovské plány) jsou šifrovány na zařízení rodiče, ještě než opustí telefon. Šifruje se jak obsah souboru, tak jeho název. Privátní klíče neopouštějí zařízení rodičů. Druh dokumentu (např. cestovní pas) a datum jeho platnosti šifrovány nejsou — díky tomu aplikace připomíná končící platnost a porovnává ji s daty cesty.

Údaje o zdraví dítěte šifrujeme stejným způsobem, zvlášť pro každé dítě. Klíč k údajům o zdraví se vytvoří automaticky v telefonu rodiče, který k nim má přístup, udělil souhlas se zpracováním údajů o zdraví a má v telefonu klíč k dokumentům (šifrování lze zapnout i ručně v Nastavení); předání klíče druhému rodiči nebo pečovateli vyžaduje jedno potvrzení (porovnání otisku klíče). Šifrování začne platit, jakmile mají klíč všechny osoby s přístupem k údajům o zdraví daného dítěte — rodiče, a také pečovatel, pokud mu toto oprávnění bylo uděleno. Alergie, léky, chronická onemocnění, krevní skupina, poznámky, záznamy (návštěvy, očkování, diagnózy, výsledky vyšetření, pobyty v nemocnici) a měření výšky a hmotnosti jsou pak šifrovány v telefonu, než se dostanou na náš server; na serveru i nadále vidíme, že záznam existuje, jeho datum a to, kdo jej přidal. Dokud klíč nemají všechny osoby s přístupem k údajům o zdraví daného dítěte, jsou tyto údaje uchovávány jako dosud — zabezpečené, ale ne end-to-end — a aplikace zobrazuje, na koho se čeká.

Číslo PESEL dítěte, pokud je zadáte, je vždy šifrováno v telefonu — zvlášť pro každého z rodičů, jeho klíčem k dokumentům — než se dostane na náš server. Nemůžeme je přečíst. Na serveru vidíme pouze to, že číslo bylo uloženo a pro které rodiče. K uložení čísla je potřeba klíč k dokumentům.

V praxi to znamená, že ani my, ani poskytovatel hostingu nejsme schopni tyto údaje přečíst — ani kdybychom chtěli, a ani kdyby někdo získal přístup k databázi. Důsledek tohoto řešení: pokud ztratíte přístup ke všem svým zařízením a klíč si nezajistíte, nemůžeme tyto dokumenty ani zašifrované údaje o zdraví, měření výšky a váhy a číslo PESEL obnovit.

Kopie klíče v přístupovém klíči (passkey). Klíč si můžete zajistit uložením přístupového klíče v Heslech Apple nebo ve Správci hesel Google. Uchováváme pak zašifrovanou kopii vašeho klíče, kterou může otevřít pouze tento přístupový klíč — my ne. Kopii smažete v nastavení klíče k dokumentům; zmizí také, když klíč změníte, a společně s účtem. Kdokoli, kdo zná heslo k vašemu účtu Apple nebo Google a kód k jednomu z vašich zařízení, může tento přístupový klíč použít.

Kam zapisovat informace o zdraví. Šifrování end-to-end a souhlas s údaji o zdraví se vztahují na sekci zdraví a na dokumenty o zdraví. Do výdajů, zpráv a kalendáře pište jen to, co je potřeba k organizaci (např. „návštěva lékaře“, „lékárna“), a podrobnosti o zdraví dítěte ukládejte v sekci zdraví.

6. Zprávy mezi rodiči

Chceme tu být zcela otevření: zprávy nejsou šifrovány end-to-end. Jsou uchovávány na našem serveru v podobě, která umožňuje jejich přečtení. Vyplývá to ze dvou funkcí, které jsme považovali za důležitější pro bezpečnost rodin než plné šifrování:

• Filtr vulgarismů — obsah zprávy je před uložením automaticky kontrolován a nalezené vulgarismy jsou maskovány. Jde o automatické zpracování textu, bez účasti člověka.
• Nahlašování zneužití a pozastavení konverzace — rodič může zprávu nahlásit. Nahlášenou zprávu může přečíst určená osoba z týmu ParentLoop za účelem vyřízení hlášení. Mimo tento případ nikdo z týmu korespondenci rodičů nečte. Každá strana konverzace ji také může pozastavit: dokud ji ten, kdo ji pozastavil, neobnoví, nikdo v této konverzaci nepošle novou zprávu. Zaznamenáváme, kdo a kdy konverzaci pozastavil a obnovil; obě strany to vidí v konverzaci i v jejím exportu a druhá strana dostane oznámení. Po nahlášení můžeme také nezákonnou zprávu skrýt u obou stran (v konverzaci zůstane informace, že ji skryl ParentLoop, a její text uchováme jako důkaz pro případ odvolání nebo pro orgány činné v trestním řízení), nebo konverzaci pozastavit; takto pozastavenou konverzaci můžeme obnovit jen my.

Pokud po hlášení omezíme váš účet, dostanete od nás odůvodnění rozhodnutí a můžete se proti němu odvolat — pravidla popisují Podmínky používání.

Pokud chcete druhému rodiči předat obsah, který nechcete svěřit serveru, využijte zašifrované dokumenty (§5).

7. Rozpoznávání textu z fotografií: účtenky a rozvrh hodin

Načtení částek a dat z účtenek probíhá lokálně na zařízení. Fotografie účtenky ani načtený text se neodesílají do žádné externí služby rozpoznávání textu. Na náš server se dostane pouze fotografie uložená u výdaje a načtené údaje, pokud je potvrdíte. Na telefonech se systémem Android používáme ke čtení textu v zařízení knihovnu Google ML Kit, která odesílá společnosti Google diagnostické údaje o zařízení a průběhu čtení (bez fotografie a bez načteného textu — §8).

Rozvrh hodin můžete také načíst z fotografie. Text čteme v telefonu a kopii fotografie v aplikaci mažeme hned po načtení — fotografie ani načtený text se nedostanou na náš server ani do žádné externí služby (na Androidu knihovna Google ML Kit odesílá společnosti Google výhradně diagnostické údaje — §8). Ukládáme pouze hodiny, které potvrdíte.

Vložení adresy ze zprávy nebo poznámky do události přečte adresu v telefonu a nikam ji neposílá. Na iPhonu to dělá systém telefonu. Na Androidu k tomu používáme knihovnu Google ML Kit, ale jen pokud jste s ní souhlasili při čtení účtenky nebo rozvrhu (souhlas odvoláte v Nastavení → Souhlasy); při prvním použití stáhne z Googlu jazykový model a Googlu posílá jen diagnostické údaje, nikdy vložený text (§8). Bez tohoto souhlasu adresu vložíme tak, jak jste ji zkopírovali.

8. Komu údaje svěřujeme

Údaje v aplikaci jsou viditelné výhradně pro rodiče a opatrovníky propojené s profilem daného dítěte. Využíváme poskytovatele, kteří údaje zpracovávají výhradně na náš příkaz, na základě smluv o zpracování osobních údajů:

Databáze a soubory jsou uchovávány v Evropské unii. Předání údajů mimo EHP (poskytovatelé oznámení a aktualizací) probíhá na základě rozhodnutí Evropské komise o odpovídající úrovni ochrany (EU–US Data Privacy Framework — pro subjekty v něm certifikované) a standardních smluvních klauzulí Evropské komise.

Návrhy adres poskytuje Google Maps Platform (Places API). Když zadáváte adresu události, telefon odešle zadaný text přímo společnosti Google LLC (USA), která přitom vidí IP adresu telefonu. Google tyto údaje zpracovává jako samostatný správce podle vlastních pravidel (podmínky ochrany údajů Google Maps pro správce a zásady ochrany soukromí Google), nikoli podle našich pokynů — proto není v tabulce výše. Ke Google se dostane jen to, co napíšete do pole adresy, bez údajů o účtu a bez jména dítěte. Čtení textu z fotografií na Androidu: při čtení textu z fotografie účtenky nebo rozvrhu hodin (§7) ukládá knihovna Google ML Kit v telefonu svůj identifikátor instalace a načítá a odesílá společnosti Google LLC (USA) diagnostické údaje o zařízení a průběhu čtení: výrobce, model telefonu a verzi systému, dostupné hardwarové akcelerátory, název a verzi aplikace, identifikátor instalace knihovny, časy provádění, formát a rozlišení obrazu, velikost vstupních a výstupních dat, verzi funkce, typ události a chybové kódy (při spojení Google vidí také IP adresu telefonu) — nikdy samotnou fotografii ani z ní načtený text. Google tyto údaje zpracovává jako samostatný správce pro účely diagnostiky a analýzy využití knihovny ML Kit podle podmínek služeb Google APIs / ML Kit a zásad ochrany soukromí Google. Předání údajů do USA se opírá o rozhodnutí Evropské komise o programu EU–US Data Privacy Framework (pokud v něm má Google LLC aktivní certifikaci) nebo o standardní smluvní klauzule.

Kalendář v telefonu. Pokud v Nastavení zapnete odběr kalendáře, vytvoříme soukromý odkaz, který přidáte do kalendáře podle svého výběru (např. Kalendář Apple a iCloud, Kalendář Google, Outlook). Tato služba každých několik hodin stahuje z našeho serveru údaje popsané v §3 a uchovává je podle vlastních pravidel — jako samostatný správce, kterého si vybíráte vy, nikoli podle našich pokynů — proto není v tabulce výše. Některé takové služby zpracovávají údaje mimo EHP, např. v USA. Odkaz funguje jako heslo: kdokoli ho má, uvidí stejné údaje, proto ho s nikým nesdílejte. Kdykoli ho můžete vypnout nebo vytvořit nový — starý pak okamžitě přestane fungovat. V kalendáři jsou i dny péče a události přidané druhým rodičem, které vidíte v aplikaci; druhý rodič v aplikaci vidí, že máte odběr zapnutý.

Totéž platí na Androidu při vkládání adresy do události (§7), pokud jste s ML Kit souhlasili: vložený text telefon nikdy neopustí.

Jakmile spustíme platby, předplatné bude obsluhovat výhradně Apple (App Store) nebo Google (Google Play) — jako samostatní správci platebních údajů, podle vlastních pravidel. Nevidíme číslo vaší karty; dostáváme pouze informaci, že předplatné je aktivní, a jeho identifikátor. Stav předplatného bude pro nás kontrolovat RevenueCat (RevenueCat, Inc., USA) jako zpracovatel, na základě rozhodnutí Evropské komise o programu EU–US Data Privacy Framework (pokud v něm má aktivní certifikaci) nebo standardních smluvních klauzulí: dostane náhodný identifikátor rodiny — bez jmen a e-mailové adresy — údaje o nákupu předané obchodem a základní technické údaje telefonu (systém, verze aplikace, země obchodu). Než platby začnou fungovat, budeme o tom informovat e-mailem (§16).

Testování v Google Play a TestFlight. Testovací verzi aplikace, její aktualizace a připomínky a hlášení o pádech zasílané přes Google Play nebo aplikaci TestFlight obsluhuje Google (Google Ireland Limited a Google LLC, USA) nebo Apple (Apple Distribution International Ltd. a Apple Inc., USA) jako samostatní správci, podle pravidel testovacích programů Google Play a TestFlight. Průběh testování a vaše připomínky nám zpřístupňují ve svých konzolích (§3). Předání údajů do USA probíhá na základě rozhodnutí Evropské komise o rámci EU–US Data Privacy Framework nebo standardních smluvních doložek.

Plán dne, který odešlete sami. Pokud děti žijí v jedné domácnosti, můžete poslat plán dne někomu, kdo nemá účet, například babičce nebo chůvě: datum, jména dětí, události dne s časem a místem, konec vyučování nebo školky a jméno osoby, která dítě vyzvedává. Odešlete ho sami — aplikací a osobě, kterou si zvolíte. ParentLoop přitom nic neodesílá a neukládá, komu jste plán poslali. Od okamžiku odeslání je tato kopie mimo ParentLoop: nemůžeme ji opravit ani smazat.

9. Jak dlouho údaje uchováváme

• Údaje účtu a údaje dítěte — po dobu používání aplikace. Mažeme je, když smažete účet (§11).
• Odkaz na kalendář (§8) — funguje, dokud ho nevypnete nebo nevytvoříte nový, a zaniká se smazáním účtu. Samostatnou kopii kalendáře neuchováváme — údaje skládáme při každém stažení. Události, které váš kalendář už stáhl, v něm mohou zůstat, dokud odběr ze svého kalendáře neodeberete.
• Jednotlivé záznamy (výdaj, událost, dokument, měření) — do okamžiku jejich smazání rodičem v aplikaci.
• Zdravotní záznamy (návštěvy, očkování, diagnózy, výsledky vyšetření, hospitalizace) se ukládají pouze přidáváním: oprava vytvoří nový záznam a jednotlivý záznam nelze v aplikaci smazat. Mažeme je spolu s účtem nebo na Vaši žádost zaslanou e-mailem. Když odvoláte souhlas s údaji o zdraví, okamžitě smažeme všechny údaje o zdraví dítěte včetně dokumentů o zdraví, ledaže druhý rodič s přístupem k údajům o zdraví dítěte udělil vlastní souhlas — pak zůstanou jemu a Vy je přestanete vidět (souhlas pečující osoby, která není rodičem dítěte, je nezachová). Před odvoláním souhlasu si můžete stáhnout kopii údajů (§11). V den 18. narozenin dítěte údaje o zdraví mažeme (§10).
• Historie souhlasů — uchovávána i po odvolání souhlasu a po smazání účtu, v minimálním rozsahu potřebném k prokázání, že souhlas byl udělen (datum a verze dokumentu; čl. 7 odst. 1 GDPR) — po dobu 3 let od konce roku, v němž byl souhlas odvolán nebo účet smazán.
• Korespondence týkající se práv podle GDPR (vaše žádost, např. o vydání nebo smazání údajů, a naše odpověď) — po dobu 3 let od konce roku, v němž jsme věc uzavřeli, jako doklad, že jsme ji vyřídili. Kopie dokladů totožnosti a stejnopisů soudních rozhodnutí zaslané k ověření žádosti mažeme neprodleně po jejich kontrole (v korespondenci uchovávané po dobu 3 let zůstává pouze záznam o provedeném ověření). Žádosti o smazání účtu podané na webu mají vlastní, kratší lhůtu (níže).
• Hlášení zpráv a rozhodnutí o nich — 3 roky od konce roku, v němž jsme věc uzavřeli, i když mezitím smažete účet (pak již bez vazby na něj), jako důkaz, že jsme hlášení vyřídili podle aktu o digitálních službách (DSA), a pro případ nároků (čl. 6 odst. 1 písm. c) a f) GDPR). Text zprávy skryté po nahlášení smažeme spolu s věcí, nebo dříve spolu se zprávou.
• Verze aplikace — jeden záznam na systém telefonu, přepisovaný při každém otevření aplikace. Mažeme jej společně s účtem.
• Bezplatný přístup přiznaný na e-mailovou adresu — pokud účet s touto adresou ještě neexistuje, pozvánka čeká nejdéle 90 dní, poté adresu smažeme. Po založení účtu zůstane jen vazba na účet; informaci o přiznaném přístupu, označení testera a poznámku týmu uchováváme do smazání účtu.
• Zpětná vazba a odpovědi v dotazníku — po dobu existence účtu; mažeme je společně s účtem a jsou součástí exportu údajů. Čte je výhradně tým ParentLoop, druhý rodič je nevidí. Zpětná vazba přichází také e-mailem do schránky týmu — tuto kopii smažeme na vaši žádost.
• Údaje z testování před spuštěním — vaši adresu ze seznamu testerů v Google Play a TestFlight odstraníme po skončení vaší účasti v testování, nejpozději 30 dní po spuštění v daném obchodě. Připomínky a hlášení o pádech z Google Play a TestFlight a odpovědi v dotazníku po testování uchováváme až 12 měsíců od skončení testování. E-mail, kterým přijímáte Podmínky, uchováváme stejně jako historii souhlasů.
• Přístup dítěte k ParentLoop kids — do jeho odvolání rodičem, smazání profilu dítěte nebo smazání účtu.
• Plány narozenin (hosté, dárky, rezervace) — do smazání plánu rodičem nebo společně s účtem.
• Kopie klíče v přístupovém klíči — do jejího smazání v nastavení, změny klíče nebo smazání účtu.
• Zprávy mezi rodiči — odeslanou zprávu nelze v aplikaci upravit ani smazat, protože konverzace je společným záznamem dohod ve věcech dítěte; po nahlášení může tým nezákonnou zprávu pouze skrýt (§6). Zprávy uchováváme, dokud má v rodině někdo účet, a smažeme je, když svůj účet smaže poslední osoba v rodině. Když účet smaže jeden rodič, jeho zprávy zůstanou v konverzaci druhého rodiče, s označením „Smazaný uživatel“ místo jména a bez vazby na účet, dokud druhý rodič nesmaže svůj účet nebo dokud nevyhovíme námitce (§11). Záznamy o pozastavení a obnovení konverzace uchováváme stejně jako zprávy.
• Oznámení v aplikaci — 180 dní od odeslání, poté je automaticky mažeme. Když někdo smaže svůj účet, jeho jméno z oznámení ostatních zmizí; když mažeme údaje dítěte, zmizí z nich jméno dítěte.
• Žádost o smazání účtu podaná z webu — e-mailová adresa do smazání účtu nebo odvolání žádosti (nepotvrzená žádost: 30 dní). Poté po 90 dní zůstává pouze hash adresy a data, jako důkaz, že jsme žádost provedli; následně mažeme i je.
• Údaje dítěte po dosažení 18 let — údaje o zdraví a rodné číslo PESEL mažeme v den osmnáctých narozenin, ostatní údaje o 3 měsíce později (§10).
• Záložní kopie databáze — vytváříme je denně a uchováváme 7 dní. Smazané údaje z nich zmizí nejpozději po této době; k zálohám saháme výhradně proto, abychom obnovili databázi po havárii.

10. Když dítě dosáhne 18 let

Údaje dítěte zpracováváme v souvislosti s výkonem rodičovské odpovědnosti nebo péče rodiči (čl. 6 odst. 1 písm. f) GDPR) a údaje o zdraví a číslo PESEL — na základě souhlasu rodiče. V den osmnáctých narozenin rodičovská odpovědnost zaniká — od té chvíle o svých údajích rozhoduje sama zletilá osoba. Proto aplikace tehdy přestane přijímat nové údaje o této osobě.

Údaje o zdraví a rodné číslo PESEL mažeme v den osmnáctých narozenin (pokud rodiče nedostali upozornění asi 30 dní před narozeninami, smažeme je 4 týdny po upozornění). Zpracovávali jsme je na základě souhlasu rodiče uděleného jménem dítěte a tento základ zaniká spolu s rodičovskou odpovědností. Asi 30 dní předem dostanou rodiče s přístupem k těmto údajům oznámení, aby si stihli stáhnout kopii (Nastavení → Stáhnout moje údaje). Měření výšky a hmotnosti zůstávají spolu s ostatními údaji.

Ostatní již uložené údaje zůstávají po dobu 3 měsíců viditelné, lze je exportovat a lze je smazat (náš oprávněný zájem: rodiče si mohou v klidu stáhnout společný záznam a zletilá osoba proti tomu může vznést námitku — čl. 6 odst. 1 písm. f) GDPR) — zablokovat někomu přístup k vlastním údajům by bylo opakem toho, o co v GDPR jde. Po 3 měsících je smažeme; aplikace rodičům ukazuje přesné datum. Zletilá osoba, jejíž údaje se nacházejí v ParentLoop, se na nás může v této době obrátit s žádostí o jejich vydání nebo smazání. Taková osoba nemá v aplikaci účet, a proto její totožnost ověřujeme přímo s ní: požádáme o několik údajů z jejího dřívějšího profilu (např. jméno, datum narození a s kterým rodičem byl profil propojen) a odpovíme na e-mailovou adresu, ze které nám napsala. O doklad totožnosti požádáme jen tehdy, máme-li důvodné pochybnosti (čl. 12 odst. 6 GDPR), a rodiče propojeného s jejím dřívějším profilem zapojíme pouze s jejím souhlasem. Pokud o doklad požádáme, prosíme o zakrytí fotografie, čísla PESEL a série a čísla dokladu (stačí jméno, příjmení, datum narození a datum platnosti); zaslanou kopii ihned po ověření smažeme. Dokumenty a end-to-end šifrované údaje o zdraví, měření výšky a váhy a číslo PESEL (§5) nemůžeme dešifrovat ani vydat v kopii — můžeme je však smazat spolu s celým profilem. Kopii zašifrovaných údajů může zletilé osobě předat rodič, který si stáhne export.

Pokud rodič neuvedl datum narození dítěte, aplikace neví, kdy dítě dosáhne 18 let, a záznam se proto sám neuzavře: údaje zůstanou, dokud je rodič nesmaže. Jakmile je dítě zletilé, měl by rodič profil dítěte smazat sám (Nastavení → profil dítěte).

11. Vaše práva a jak je využít

Máte právo na: přístup k údajům, jejich opravu, výmaz, omezení zpracování, přenositelnost údajů, vznesení námitky proti zpracování a odvolání souhlasu v kterýkoli okamžik — což nemá vliv na zákonnost zpracování před odvoláním.

Přímo v aplikaci, bez kontaktu s námi:

• Stažení všech svých údajů (čl. 15 a 20 GDPR) — Nastavení → Stáhnout moje údaje. Dostanete soubor ZIP; dokumenty dítěte jsou v něm dešifrovány ve vašem telefonu, proto aplikace před stažením požádá o Face ID, Touch ID nebo kód zámku. Telefon bez nastaveného kódu zámku export nestáhne — v takovém případě vám kopii údajů zašleme na vaši žádost, ale bez dokumentů a těch údajů o zdraví, měření výšky a váhy a čísla PESEL, které jsou šifrovány end-to-end — ty dešifrovat nemůžeme.
• Smazání účtu a údajů (čl. 17 GDPR) — Nastavení → Smazání údajů a účtu. Smazání nastane okamžitě.
• Odvolání souhlasu s údaji o zdraví a marketingových souhlasů — Nastavení → Souhlasy. Odvolání souhlasu s údaji o zdraví okamžitě smaže údaje o zdraví dítěte, ledaže druhý rodič s přístupem k údajům o zdraví dítěte má vlastní souhlas (§9); před odvoláním si můžete stáhnout kopii údajů. Rodné číslo PESEL dítěte odstraníte v nastavení dítěte.
• Oprava údajů (čl. 16 GDPR) — přímo v profilu dítěte a v účtu. Jméno a datum narození dítěte opravuje každý z rodičů sám; druhý rodič dostane v aplikaci oznámení s původní a novou hodnotou (push oznámení na telefon datum narození neobsahuje).

Smazání účtu a údajů bez aplikace

Účet smažete také na stránce parentloop.pl/smazat-ucet: zadáte e-mailovou adresu účtu a potvrdíte smazání odkazem ze zprávy. Účet a údaje mažeme 7 dní po potvrzení, ve stejném rozsahu jako při smazání v aplikaci. Během této doby můžete smazání odvolat odkazem z druhé zprávy a na telefony přihlášené k tomuto účtu posíláme oznámení — je to ochrana před situací, kdy někdo, kdo se dostal do vaší e-mailové schránky, smaže váš účet. Pokud na zadané adrese žádný účet není, nic neodesíláme a stránka odpoví stejně — formulář neprozradí, kdo má účet.

Už nemáte přístup k e-mailové adrese účtu? Pokud je váš telefon stále přihlášený, smažte účet v aplikaci (Nastavení → Smazání údajů a účtu) — e-mail k tomu nepotřebujete. V opačném případě se nejprve pokuste obnovit přístup ke schránce u svého poskytovatele e-mailu. Pokud se to nepodaří, napište na kontakt@parentloop.pl z adresy, ke které máte přístup. Údaje z profilu obvykle zná i druhý rodič, proto než účet smažeme, ověříme, že patří vám (čl. 12 odst. 6 GDPR): požádáme o informace související s účtem a ve výjimečných případech (pokud jste v profilu uvedli jméno a příjmení) můžeme požádat o kopii dokladu totožnosti se zakrytou fotografií, rodným číslem (PESEL), datem narození a sérií a číslem dokladu. Kopii dokladu použijeme pouze k tomuto ověření a ihned po něm ji smažeme, přičemž v korespondenci ponecháme jen záznam o potvrzení totožnosti. Účet pak smažeme stejně jako přes formulář — po 7 dnech; na dosavadní adresu účtu a na přihlášené telefony pošleme oznámení s možností smazání odvolat (chrání to účet pro případ, že by psal někdo jiný) a vy můžete v této době smazání odvolat také v odpovědi na naši zprávu.

Smazání účtu a druhý rodič

Profil dítěte je sdílený. Pokud smažete svůj účet a druhý rodič ParentLoop nadále používá, údaje dítěte zůstanou dostupné jemu — je samostatným uživatelem s vlastním základem zpracování. Mazány jsou vaše údaje účtu a ty údaje, u nichž jste jediným propojeným rodičem. Aplikace před smazáním zobrazí, co přesně zmizí a co zůstane.

Druhý rodič dostane oznámení, že účet byl smazán — bez vašeho jména. Zprávy, které jste odeslali, zůstávají v jeho konverzaci, s označením „Smazaný uživatel“ místo vašeho jména a bez vazby na váš účet: je to také jeho korespondence ve věcech dítěte a jejich smazání by mu odebralo možnost prokázat, co bylo dohodnuto (čl. 6 odst. 1 písm. f) a čl. 17 odst. 3 písm. e) GDPR). Proti ponechání všech nebo vybraných zpráv můžete vznést námitku (čl. 21 odst. 1 GDPR) na adrese kontakt@parentloop.pl (pokud už byl účet smazán, uveďte prosím jméno dítěte a přibližné datum a obsah zpráv, abychom je mohli dohledat). Vyřídíme ji bez zbytečného odkladu, nejpozději do jednoho měsíce, a zvážíme přitom vaši konkrétní situaci, zájem druhého rodiče a nejlepší zájem dítěte:

• Námitce vyhovíme a zprávu (nebo její příslušnou část) smažeme i u druhého rodiče, pokud její ponechání ohrožuje vaši bezpečnost (např. prozrazuje vaši novou adresu nebo pracoviště a vy uvedete násilí, obtěžování nebo zákaz přiblížení), pokud se týká výhradně vás nebo třetích osob, a ne věcí dítěte, pokud byla odeslána omylem a nebyla na ní založena žádná dohoda, nebo pokud druhý rodič s jejím smazáním souhlasí.
• Námitku zamítneme, pokud zpráva dokládá dohody ve věcech dítěte (péče, předávání, cesty, léčba, škola, výdaje), je důkazem v probíhajícím nebo ohlášeném řízení, týká se nahlášeného porušení Podmínek používání (např. výhrůžek), nebo pokud by její smazání změnilo smysl odpovědí druhého rodiče.

Žádosti soudů, orgánů a druhého rodiče

• Údaje poskytujeme soudům, státnímu zastupitelství, policii a jiným orgánům pouze tehdy, když to vyžaduje právní předpis — po přezkoumání základu žádosti a výhradně v rozsahu, kterého se týká.
• Nepředáváme jednomu rodiči údaje druhého rodiče nad to, co již vidí v aplikaci. Pokud potřebujete materiál pro soudní řízení, využijte export údajů (Nastavení → Stáhnout moje údaje).
• Export a záznamy z aplikace nejsou úředními dokumenty. Nezaručujeme, že soud nebo orgán je uzná jako důkaz určitého obsahu nebo data.

Kontakt a stížnost

V každé z těchto věcí nám můžete také napsat na kontakt@parentloop.pl — odpovídáme bez zbytečného odkladu, nejpozději do jednoho měsíce. Máte rovněž právo podat stížnost u předsedy polského Úřadu pro ochranu osobních údajů (Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa).

12. Bezpečnost

• Přístup k údajům každého dítěte je vynucován na úrovni databáze, a nikoli pouze v aplikaci — rodič bez oprávnění k danému dítěti jeho údaje nepřečte ani mimo aplikaci.
• Připojení z aplikace jsou šifrována (TLS) a údaje v databázi a v souborech jsou šifrovány v klidovém stavu.
• Dokumenty dítěte, a jakmile mají klíč všechny osoby s přístupem k údajům o zdraví dítěte, také údaje o zdraví, jsou navíc šifrovány end-to-end (§5).
• Při zakládání účtu a změně hesla odmítáme hesla, která unikla ve známých incidentech. Kontrolu provádí náš server: službě Have I Been Pwned odesílá pouze krátký úryvek hashe hesla, nikdy heslo samotné ani IP adresu vašeho telefonu.
• Když se po prvních 24 hodinách od založení účtu někdo přihlásí k vašemu rodičovskému účtu, dostanete oznámení v aplikaci a — pokud máte povolená oznámení — i do telefonu, s přibližným typem zařízení (iPhone nebo iPad, telefon nebo tablet s Androidem, webový prohlížeč nebo jiné zařízení). V Nastavení → Soukromí a data → Přihlášená zařízení vidíte aktivní relace (od kdy je účet přihlášen a kdy bylo zařízení naposledy aktivní) a můžete libovolné zařízení odhlásit; přístup skončí nejpozději do hodiny. Přihlašovací služba po dobu relace ukládá IP adresu a technickou informaci odesílanou aplikací nebo prohlížečem (User-Agent), ze které čteme pouze typ zařízení; IP adresu nikde nezobrazujeme ani ji nezahrnujeme do exportu dat. Právní základ: plnění smlouvy (čl. 6 odst. 1 písm. b GDPR — správa relací) a náš i váš oprávněný zájem (čl. 6 odst. 1 písm. f GDPR — bezpečnost účtu a ochrana před neoprávněným přístupem; příjemci pro hosting a oznámení — §8). Relace zmizí ze seznamu po odhlášení, po automatickém vypršení z důvodu nečinnosti nebo spolu se smazáním účtu, samotné oznámení v aplikaci uchováváme 180 dní (§9).
• Historie zdravotních záznamů (návštěvy, očkování, diagnózy, výsledky vyšetření, hospitalizace) se ukládá v režimu pouze pro přidávání — oprava vytvoří nový záznam, místo aby přepsala předchozí.

13. Přístup týmu ParentLoop

Přístup k produkčním údajům má výhradně úzký, jmenovitě určený okruh osob z týmu ParentLoop, a to výhradně za účelem technické správy, podpory uživatelů a vyřizování hlášení zneužití — nikdy pro marketingové účely. Zašifrované dokumenty, číslo PESEL ani zašifrované údaje o zdraví (§5) tým není schopen přečíst v žádném režimu.

14. Děti a ParentLoop kids

Aplikace ParentLoop je určena výhradně pro dospělé osoby — rodiče a opatrovníky. Pro děti ve věku od 7 do 16 let existuje samostatná aplikace, ParentLoop kids:

• Přístup dítěti zřizuje rodič: aplikace rodiče zobrazí jednorázový QR kód, platný 10 minut, který dítě naskenuje v ParentLoop kids. Dítě nezadává e-mailovou adresu, telefonní číslo ani heslo. Smlouvu s námi uzavírá rodič, nikoli dítě.
• Dítě vidí: u kterého rodiče daný den je, události z kalendáře včetně seznamu věcí k sbalení, rozvrh hodin s učebnou a vyučujícím a mimoškolní aktivity, své domácí povinnosti a své kapesné za posledních 8 týdnů (pouze částky) — částky může rodič před dítětem skrýt. Aplikace dítě nesrovnává se sourozenci.
• Dítě nevidí zprávy mezi rodiči, dokumenty, údaje o zdraví ani výdaje a vyúčtování.
• Z telefonu dítěte ukládáme jen to, co je potřebné k fungování: propojení zařízení s profilem dítěte, povinnosti, které dítě odškrtne, události, které si samo přidá do kalendáře, token push oznámení a jazyk telefonu (abychom posílali oznámení ve správném jazyce). Dítě si může na svém profilu nastavit PIN; zůstává výhradně v zařízení a na náš server se nedostane.
• Vzhled ParentLoop kids přizpůsobujeme věku dítěte: dítě mladší 16 let dostane nový vzhled s tapetou, starší dítě nebo dítě, jehož datum narození neznáme, dosavadní vzhled. Věk se počítá v telefonu dítěte z data narození, které rodič zadal v profilu dítěte, a nikde se neukládá. Dítě může vzhled změnit v Profilu; tato volba zůstává jen v zařízení.
• Dítě si může do kalendáře přidat vlastní událost (např. písemku, trénink nebo překvapení pro rodiče) a přepínačem „Ukázat rodičům“ samo rozhodnout, zda ji rodiče uvidí. Událost ukládáme na našem serveru. Pokud ji dítě nesdílí, rodiče ji nevidí ve své aplikaci ani v exportu údajů. Smažeme ji, když ji dítě smaže, nebo spolu s profilem dítěte či účtem.
• Každý rodič oprávněný k údajům dítěte může kdykoli odvolat přístup dítěte — s okamžitým účinkem. Když jeden rodič zřídí dítěti přístup, druhý o tom dostane oznámení.

15. Webové stránky: soubory cookie a seznam zájemců

Tyto stránky nepoužívají soubory cookie pro marketingové ani analytické účely. Mobilní aplikace neobsahuje žádné externí nástroje pro sledování ani reklamu.

Dokud aplikace není dostupná v obchodech, lze se na stránkách zapsat na seznam zájemců. Jde o jiný účel než používání aplikace, proto jej popisujeme zvlášť:

• Co shromažďujeme: e-mailovou adresu, jazyk stránky, informaci o tom, ze kterého formuláře zápis pochází, datum zápisu, datum potvrzení a verzi textu formuláře, kterou jste přijali. Nic víc — neptáme se na jméno ani na jakékoli údaje dítěte.
• K čemu: abychom poslali jednu zprávu v den vydání aplikace. Nevedeme newsletter a adresu nikomu dále nepředáváme.
• Právní základ: váš souhlas (čl. 6 odst. 1 písm. a) GDPR). Po odeslání formuláře dostanete jeden e-mail s odkazem; souhlas vyjádříte kliknutím na „Potvrdit“ na stránce, na kterou odkaz vede. Odkaz funguje 7 dní. Bez potvrzení vám neodešleme nic kromě tohoto odkazu — díky tomu nikdo nezapíše na seznam cizí adresu.
• Jak dlouho: nepotvrzený zápis mažeme po 30 dnech. Potvrzený — po odeslání oznámení o vydání, a pokud se vydání zpozdí, nejpozději 24 měsíců od zápisu.
• Odvolání souhlasu: kdykoli, jedním e-mailem na adresu z bodu 17. Adresu pak ze seznamu smažeme a nic dalšího neposíláme.
• Kam se údaje dostávají: formulář obsluhuje Cloudflare (hosting stránek), adresu ukládáme v databázi Supabase v Evropské unii — tam, kde údaje aplikace — a e-mail s odkazem odesílá Brevo (bod 8).

Zápis na seznam zájemců nezakládá účet v aplikaci a není nijak propojen s účtem, pokud si jej založíte později.

16. Změny zásad

Tyto zásady aktualizujeme, když se mění to, co s údaji děláme. E-mailem na adresu přiřazenou k účtu vás nejméně 14 dní před nabytím účinnosti změny budeme informovat, když začneme již shromážděné údaje využívat k novému účelu nebo novým způsobem, když přidáme nového poskytovatele nebo když se změní správce údajů. Novou, dobrovolnou funkci — kterou nemusíte používat a která nemění to, co se děje s již uloženými údaji — popíšeme v zásadách v den jejího zpřístupnění a informujeme o ní v aplikaci; datum a číslo verze najdete v horní části této stránky. Pokud změna vyžaduje nový souhlas, požádáme o něj zvlášť — další používání aplikace souhlas nenahrazuje. Zaznamenáváme, kterou verzi zásad jste přijali.

17. Kontakt

Ve věcech týkajících se těchto zásad: kontakt@parentloop.pl. Adresa pro písemnou korespondenci: ParentLoop sp. z o.o., ul. Grójecka 210, 02-390 Warszawa, Polsko.

Zásady ochrany osobných údajov ParentLoop

Posledná aktualizácia: 1. novembra 2026 · verzia 4.22

1. Kto zodpovedá za vaše údaje

Prevádzkovateľom osobných údajov spracúvaných v aplikáciách ParentLoop a ParentLoop kids a na stránke parentloop.pl je ParentLoop sp. z o.o. (poľská spoločnosť s ručením obmedzeným) so sídlom ul. Grójecka 210, 02-390 Warszawa, Poľsko, zapísaná v registri podnikateľov poľského súdneho registra (Krajowy Rejestr Sądowy) vedenom súdom Sąd Rejonowy dla m.st. Warszawy w Warszawie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego (Okresný súd pre hlavné mesto Varšavu vo Varšave, XII. obchodné oddelenie KRS), pod číslom KRS 0001272931, NIP 7011335937, REGON 545952514, základný kapitál 5 000,00 PLN.

Kontakt vo veciach ochrany údajov: kontakt@parentloop.pl. Neurčili sme zodpovednú osobu za ochranu osobných údajov — pri súčasnom rozsahu spracúvania sa nevyžaduje; k tomuto posúdeniu sa vrátime, keď sa rozsah zväčší.

2. V skratke

Skratka nenahrádza text nižšie — záväzné sú úplné zásady.

3. Aké údaje spracúvame, na čo a na akom právnom základe

Nezbierame údaje o polohe zariadenia, nepoužívame profilovanie ani automatizované rozhodovanie s právnymi účinkami, nepoužívame reklamné nástroje ani analytiku, ktorá sleduje používateľov medzi aplikáciami. Vaše údaje ani údaje detí neposielame do externých služieb umelej inteligencie (napr. chatbotov alebo modelov AI bežiacich v cloude) a nepoužívame ich na trénovanie AI; text z fotografií a vloženú adresu čítame priamo v telefóne (§7).

Testovanie pred spustením. Ak aplikáciu testujete pred jej spustením, spracúvame aj: e-mailovú adresu vášho účtu Google alebo Apple na zozname testerov v Google Play alebo TestFlight, korešpondenciu s pozvánkou a potvrdením prijatia Podmienok, pripomienky zaslané cez Google Play, TestFlight alebo e-mailom (z TestFlight aj priložené snímky obrazovky, hlásenia o pádoch, model telefónu a verziu systému) a odpovede v dotazníku po testovaní. Robíme to, aby sme vám sprístupnili testovaciu verziu (čl. 6 ods. 1 písm. b) GDPR) a na základe pripomienok zlepšili aplikáciu (náš oprávnený záujem, čl. 6 ods. 1 písm. f) GDPR; môžete namietať, §11). Účasť na testovaní, pripomienky aj dotazník sú dobrovoľné. V pripomienkach neposielajte snímky obrazovky s údajmi o zdraví ani s číslom PESEL. To, čo do aplikácie zadáte, zostane na vašom účte aj po spustení, rovnako ako u každého používateľa.

Načítanie verzie aplikácie z telefónu nevyžaduje váš súhlas, pretože je nevyhnutné na poskytovanie služby, ktorú používate (čl. 399 poľského zákona o elektronickej komunikácii, ustawa — Prawo komunikacji elektronicznej): bez neho nevieme, či sa oprava chyby k vám dostala. Nezaznamenávame pri tom identifikátor zariadenia, IP adresu ani informácie o tom, ktoré funkcie aplikácie používate, a neuchovávame históriu — každé otvorenie aplikácie prepíše predchádzajúci záznam.

Ktoré údaje sú povinné. Na založenie účtu potrebujeme vaše meno a e-mailovú adresu (a heslo, ak sa neprihlasujete odkazom z e-mailu) a na pridanie dieťaťa — jeho meno. Pri pridaní dieťaťa tiež vyhlasujete, že k nemu vykonávate rodičovské práva a povinnosti alebo osobnú starostlivosť, prípadne že sa oň pomáhate starať na pozvanie rodiča; bez tohto vyhlásenia dieťa nepridáte. Poskytnutie údajov je dobrovoľné a nevyžaduje ho žiadny právny predpis, bez uvedených údajov však nemôžeme uzavrieť zmluvu a účet nezaložíte. Všetko ostatné (napr. dátum narodenia, fotografiu, číslo PESEL, údaje o zdraví, dokumenty, záznamy, spätnú väzbu) uvádzate, len ak chcete; keď niečo neuvediete, nefunguje len funkcia, ktorá to potrebuje — napr. bez dátumu narodenia vám aplikácia nenavrhne domáce povinnosti primerané veku.

4. Údaje, ktoré ste nám neposkytli vy sami

ParentLoop svojou povahou funguje tak, že jeden rodič zadáva údaje o dieťati, a niekedy aj údaje druhého rodiča (napr. dni, keď je dieťa u neho, odovzdávanie dieťaťa a výdavky, ktoré sa ho týkajú). To znamená, že môžeme spracúvať údaje osoby, ktorá nám ich sama neposkytla.

• Zdroj údajov: druhý rodič alebo opatrovník, ktorý používa ParentLoop.
• Rozsah: kategórie uvedené v §3.
• Hostia na narodeninách: ak rodič zadá mená hostí pozvaných na narodeniny dieťaťa, ukladáme výlučne meno — bez priezviska a kontaktu. Vidia ich iba rodičia tohto dieťaťa a vymazávame ich spolu s plánom narodenín alebo s účtom. Tieto deti ani ich rodičov nepoznáme a zisťovať, kto sú, by znamenalo zbierať ďalšie údaje, preto ich priamo neinformujeme (čl. 14 ods. 5 písm. b) GDPR).
• Vyučujúci: ak rodič zadá rozvrh hodín alebo ho načíta z fotografie, ukladáme pri hodine vyučujúceho tak, ako bol uvedený — bez kontaktných údajov. Vidia ho rodičia tohto dieťaťa a dieťa v ParentLoop kids a vymazávame ho spolu s rozvrhom hodín alebo s účtom. Kontakt na vyučujúcich nemáme a jeho vyhľadávanie by znamenalo zbierať ďalšie údaje, preto ich priamo neinformujeme (čl. 14 ods. 5 písm. b) GDPR).
• Ďalšie osoby, ktoré zadá rodič: lekár dieťaťa (v údajoch o zdraví) alebo osoba uvedená v udalosti, napr. tréner. Ukladáme len to, čo rodič uvedie. Právnym základom je náš oprávnený záujem: rodičia vďaka tomu môžu zorganizovať starostlivosť a mať tieto informácie poruke v naliehavej situácii (čl. 6 ods. 1 písm. f) GDPR). Tieto osoby priamo neinformujeme (čl. 14 ods. 5 písm. b) GDPR): nemáme ich kontaktné údaje ani s nimi žiadny vzťah a zisťovanie kontaktu alebo písanie lekárovi či trénerovi by znamenalo zbierať ďalšie údaje a prezradilo by im, že rodina aplikáciu používa a ako sa o dieťa stará. Vidia ich len rodičia dieťaťa a záznamy v kalendári aj dieťa v ParentLoop kids; vymažeme ich spolu so záznamom alebo s účtom.
• Pozvaný rodič po pripojení vidí tie isté údaje dieťaťa a môže ich opravovať, dopĺňať a využívať všetky práva opísané v §11.
• Ako sa o tom dozvie druhý rodič: pozvanie posielate sami — zo svojho e-mailu alebo komunikátora; e-mailovú adresu ani telefónne číslo druhého rodiča nedostávame. Keď sa druhý rodič pripojí, oboznámi sa s týmito zásadami pri zakladaní účtu. Kým sa nepripojí, nemáme ako ho kontaktovať, a preto ho priamo neinformujeme (čl. 14 ods. 5 písm. b) GDPR); tieto zásady sú verejne dostupné a text pozvania, ktorý aplikácia pripraví na odoslanie, obsahuje odkaz na ne.
• Ako chránime práva týchto osôb: namiesto priameho informovania zverejňujeme tieto zásady na parentloop.pl/privacy, zadané údaje vidí len rodina dieťaťa, týmto osobám nič neposielame, neprofilujeme ich a ich údaje nepoužívame na marketing a vymažeme ich spolu so záznamom alebo s účtom. Každá z týchto osôb môže namietať alebo požiadať o vymazanie svojich údajov na adrese uvedenej v §17.
• Rodič, ktorý zadáva údaje dieťaťa, vyhlasuje, že na to má právo — zvyčajne vyplývajúce z rodičovských práv a povinností. ParentLoop neoveruje a nerozhoduje spory o rodičovské práva a povinnosti ani o rozsah starostlivosti.

5. Dokumenty a údaje o zdraví — šifrovanie end-to-end

Dokumenty dieťaťa (napr. rozsudky, zmiery, rodičovské plány) sa šifrujú v zariadení rodiča, ešte predtým, než opustia telefón. Šifruje sa obsah súboru aj jeho názov. Privátne kľúče neopúšťajú zariadenia rodičov. Druh dokumentu (napr. cestovný pas) a dátum jeho platnosti sa nešifrujú — vďaka tomu aplikácia pripomína končiacu sa platnosť a porovnáva ju s dátumami cesty.

Údaje o zdraví dieťaťa šifrujeme rovnakým spôsobom, pre každé dieťa zvlášť. Kľúč k údajom o zdraví sa vytvorí automaticky v telefóne rodiča, ktorý k nim má prístup, udelil súhlas so spracúvaním údajov o zdraví a má v telefóne kľúč k dokumentom (šifrovanie možno zapnúť aj ručne v Nastaveniach); odovzdanie kľúča druhému rodičovi alebo opatrovateľovi vyžaduje jedno potvrdenie (porovnanie odtlačku kľúča). Šifrovanie začne platiť, keď majú kľúč všetky osoby s prístupom k údajom o zdraví daného dieťaťa — rodičia, a aj opatrovateľ, ak mu bolo toto oprávnenie udelené. Alergie, lieky, chronické choroby, krvná skupina, poznámky, záznamy (návštevy, očkovania, diagnózy, výsledky vyšetrení, pobyty v nemocnici) a merania výšky a hmotnosti sa potom šifrujú v telefóne, ešte predtým, než sa dostanú na náš server; na serveri stále vidíme, že záznam existuje, jeho dátum a to, kto ho pridal. Kým kľúč nemajú všetky osoby s prístupom k údajom o zdraví daného dieťaťa, tieto údaje sa uchovávajú ako doteraz — zabezpečené, ale nie end-to-end — a aplikácia zobrazuje, na koho sa čaká.

Číslo PESEL dieťaťa, ak ho zadáte, sa vždy šifruje v telefóne — osobitne pre každého z rodičov, jeho kľúčom k dokumentom — ešte predtým, než sa dostane na náš server. Nedokážeme ho prečítať. Na serveri vidíme iba to, že číslo bolo uložené a pre ktorých rodičov. Na uloženie čísla je potrebný kľúč k dokumentom.

V praxi to znamená, že ani my, ani poskytovateľ hostingu nie sme schopní tieto údaje prečítať — ani keby sme chceli, a ani keby niekto získal prístup k databáze. Dôsledok tohto riešenia: ak stratíte prístup ku všetkým svojim zariadeniam a kľúč si nezabezpečíte, nedokážeme tieto dokumenty ani zašifrované údaje o zdraví, merania výšky a váhy a číslo PESEL obnoviť.

Kópia kľúča v prístupovom kľúči (passkey). Kľúč si môžete zabezpečiť uložením prístupového kľúča v Heslách Apple alebo v Správcovi hesiel Google. Uchovávame potom zašifrovanú kópiu vášho kľúča, ktorú dokáže otvoriť iba tento prístupový kľúč — my nie. Kópiu vymažete v nastaveniach kľúča k dokumentom; zmizne aj vtedy, keď kľúč zmeníte, a spolu s účtom. Každý, kto pozná heslo k vášmu účtu Apple alebo Google a kód k jednému z vašich zariadení, môže tento prístupový kľúč použiť.

Kam zapisovať informácie o zdraví. Šifrovanie end-to-end a súhlas s údajmi o zdraví sa vzťahujú na sekciu zdravia a na dokumenty o zdraví. Do výdavkov, správ a kalendára píšte len to, čo je potrebné na organizáciu (napr. „návšteva lekára“, „lekáreň“), a podrobnosti o zdraví dieťaťa ukladajte v sekcii zdravia.

6. Správy medzi rodičmi

Chceme tu byť úplne úprimní: správy nie sú šifrované end-to-end. Uchovávajú sa na našom serveri v podobe, ktorá umožňuje ich prečítanie. Vyplýva to z dvoch funkcií, ktoré sme pre bezpečnosť rodín uznali za dôležitejšie než úplné šifrovanie:

• Filter vulgarizmov — obsah správy sa pred uložením automaticky kontroluje a zistené vulgarizmy sa maskujú. Je to automatické spracovanie textu, bez účasti človeka.
• Nahlasovanie zneužitia a pozastavenie konverzácie — rodič môže správu nahlásiť. Nahlásenú správu si môže prečítať určená osoba z tímu ParentLoop, aby podnet posúdila. Okrem tohto prípadu nikto z tímu korešpondenciu rodičov nečíta. Každá strana konverzácie ju môže aj pozastaviť: kým ju ten, kto ju pozastavil, neobnoví, nikto v tejto konverzácii nepošle novú správu. Zaznamenávame, kto a kedy konverzáciu pozastavil a obnovil; obe strany to vidia v konverzácii aj v jej exporte a druhá strana dostane upozornenie. Po nahlásení môžeme nezákonnú správu aj skryť u oboch strán (v konverzácii zostane informácia, že ju skryl ParentLoop, a jej text uchováme ako dôkaz pre prípad odvolania alebo pre orgány činné v trestnom konaní), alebo konverzáciu pozastaviť; takto pozastavenú konverzáciu môžeme obnoviť iba my.

Ak po nahlásení obmedzíme váš účet, dostanete od nás odôvodnenie rozhodnutia a môžete sa proti nemu odvolať — pravidlá opisujú Podmienky používania.

Ak chcete druhému rodičovi predať obsah, ktorý nechcete zverovať serveru, použite zašifrované dokumenty (§5).

7. Rozpoznávanie textu z fotografií: pokladničné doklady a rozvrh hodín

Načítanie súm a dátumov z pokladničných dokladov prebieha lokálne v zariadení. Fotografia pokladničného dokladu ani načítaný text sa neposielajú do žiadnej externej služby na rozpoznávanie textu. Na náš server sa dostane iba fotografia uložená pri výdavku a načítané údaje, ak ich potvrdíte. Na telefónoch so systémom Android používame na čítanie textu v zariadení knižnicu Google ML Kit, ktorá odosiela spoločnosti Google diagnostické údaje o zariadení a priebehu čítania (bez fotografie a bez načítaného textu — §8).

Rozvrh hodín môžete tiež načítať z fotografie. Text čítame v telefóne a kópiu fotografie v aplikácii vymažeme hneď po načítaní — fotografia ani načítaný text sa nedostanú na náš server ani do žiadnej externej služby (v systéme Android knižnica Google ML Kit odosiela spoločnosti Google výlučne diagnostické údaje — §8). Ukladáme iba hodiny, ktoré potvrdíte.

Vloženie adresy zo správy alebo poznámky do udalosti prečíta adresu v telefóne a nikam ju neposiela. Na iPhone to robí systém telefónu. V Androide na to používame knižnicu Google ML Kit, ale len ak ste s ňou súhlasili pri čítaní bločku alebo rozvrhu (súhlas odvoláte v Nastaveniach → Súhlasy); pri prvom použití stiahne z Googlu jazykový model a Googlu posiela len diagnostické údaje, nikdy vložený text (§8). Bez tohto súhlasu adresu vložíme tak, ako ste ju skopírovali.

8. Komu údaje zverujeme

Údaje v aplikácii sú viditeľné výlučne pre rodičov a opatrovníkov priradených k profilu daného dieťaťa. Využívame poskytovateľov, ktorí spracúvajú údaje výlučne na náš príkaz, na základe zmlúv o spracúvaní osobných údajov:

Databáza a súbory sa uchovávajú v Európskej únii. Prenos údajov mimo EHP (poskytovatelia notifikácií a aktualizácií) sa uskutočňuje na základe rozhodnutia Európskej komisie o primeranosti ochrany (EU–US Data Privacy Framework — pre subjekty v ňom certifikované) a štandardných zmluvných klauzúl Európskej komisie.

Návrhy adries poskytuje Google Maps Platform (Places API). Keď zadávate adresu udalosti, telefón odošle zadaný text priamo spoločnosti Google LLC (USA), ktorá pritom vidí IP adresu telefónu. Google tieto údaje spracúva ako samostatný prevádzkovateľ podľa vlastných pravidiel (podmienky ochrany údajov Google Maps pre prevádzkovateľov a zásady ochrany súkromia Google), nie podľa našich pokynov — preto nie je v tabuľke vyššie. Do Google sa dostane len to, čo napíšete do políčka adresy, bez údajov o účte a bez mena dieťaťa. Čítanie textu z fotografií v systéme Android: pri čítaní textu z fotografie pokladničného dokladu alebo rozvrhu hodín (§7) ukladá knižnica Google ML Kit v telefóne svoj identifikátor inštalácie a načítava a odosiela spoločnosti Google LLC (USA) diagnostické údaje o zariadení a priebehu čítania: výrobcu, model telefónu a verziu systému, dostupné hardvérové akcelerátory, názov a verziu aplikácie, identifikátor inštalácie knižnice, časy vykonávania, formát a rozlíšenie obrazu, veľkosť vstupných a výstupných údajov, verziu funkcie, typ udalosti a chybové kódy (pri spojení Google vidí aj IP adresu telefónu) — nikdy samotnú fotografiu ani z nej načítaný text. Google tieto údaje spracúva ako samostatný prevádzkovateľ na účely diagnostiky a analýzy používania knižnice ML Kit podľa podmienok služieb Google APIs / ML Kit a zásad ochrany súkromia Google. Prenos údajov do USA sa opiera o rozhodnutie Európskej komisie o programe EU–US Data Privacy Framework (ak v ňom má Google LLC aktívnu certifikáciu) alebo o štandardné zmluvné klauzuly.

Kalendár v telefóne. Ak v Nastaveniach zapnete odber kalendára, vytvoríme súkromný odkaz, ktorý pridáte do kalendára podľa vlastného výberu (napr. Kalendár Apple a iCloud, Kalendár Google, Outlook). Táto služba každých niekoľko hodín sťahuje z nášho servera údaje opísané v §3 a uchováva ich podľa vlastných pravidiel — ako samostatný prevádzkovateľ, ktorého si vyberáte vy, nie podľa našich pokynov — preto nie je v tabuľke vyššie. Niektoré takéto služby spracúvajú údaje mimo EHP, napr. v USA. Odkaz funguje ako heslo: ktokoľvek ho má, uvidí rovnaké údaje, preto ho s nikým nezdieľajte. Kedykoľvek ho môžete vypnúť alebo vytvoriť nový — starý potom okamžite prestane fungovať. V kalendári sú aj dni starostlivosti a udalosti pridané druhým rodičom, ktoré vidíte v aplikácii; druhý rodič v aplikácii vidí, že máte odber zapnutý.

To isté platí v Androide pri vkladaní adresy do udalosti (§7), ak ste s ML Kit súhlasili: vložený text nikdy neopustí telefón.

Keď spustíme platby, predplatné bude spravovať výlučne Apple (App Store) alebo Google (Google Play) — ako samostatní prevádzkovatelia platobných údajov, podľa vlastných pravidiel. Nevidíme číslo vašej karty; dostávame iba informáciu, že predplatné je aktívne, a jeho identifikátor. Stav predplatného bude pre nás kontrolovať RevenueCat (RevenueCat, Inc., USA) ako sprostredkovateľ, na základe rozhodnutia Európskej komisie o programe EU–US Data Privacy Framework (ak v ňom má aktívnu certifikáciu) alebo štandardných zmluvných klauzúl: dostane náhodný identifikátor rodiny — bez mien a e-mailovej adresy — údaje o nákupe poskytnuté obchodom a základné technické údaje telefónu (systém, verzia aplikácie, krajina obchodu). Skôr než platby spustíme, oznámime to e-mailom (§16).

Testovanie v Google Play a TestFlight. Testovaciu verziu aplikácie, jej aktualizácie a pripomienky a hlásenia o pádoch zasielané cez Google Play alebo aplikáciu TestFlight obsluhuje Google (Google Ireland Limited a Google LLC, USA) alebo Apple (Apple Distribution International Ltd. a Apple Inc., USA) ako samostatní prevádzkovatelia, podľa pravidiel testovacích programov Google Play a TestFlight. Priebeh testovania a vaše pripomienky nám sprístupňujú vo svojich konzolách (§3). Prenos údajov do USA prebieha na základe rozhodnutia Európskej komisie o rámci EU–US Data Privacy Framework alebo štandardných zmluvných doložiek.

Plán dňa, ktorý odošlete sami. Ak deti žijú v jednom domove, môžete poslať plán dňa niekomu, kto nemá účet, napríklad starej mame alebo opatrovateľke: dátum, mená detí, udalosti dňa s časom a miestom, koniec vyučovania alebo škôlky a meno osoby, ktorá dieťa vyzdvihuje. Odošlete ho sami — aplikáciou a osobe, ktorú si zvolíte. ParentLoop pritom nič neodosiela a neukladá, komu ste plán poslali. Od chvíle odoslania je táto kópia mimo ParentLoop: nemôžeme ju opraviť ani vymazať.

9. Ako dlho údaje uchovávame

• Údaje účtu a údaje dieťaťa — po dobu používania aplikácie. Vymazávame ich, keď vymažete účet (§11).
• Odkaz na kalendár (§8) — funguje, kým ho nevypnete alebo nevytvoríte nový, a zaniká vymazaním účtu. Samostatnú kópiu kalendára neuchovávame — údaje skladáme pri každom stiahnutí. Udalosti, ktoré váš kalendár už stiahol, v ňom môžu zostať, kým odber zo svojho kalendára neodstránite.
• Jednotlivé záznamy (výdavok, udalosť, dokument, meranie) — do ich vymazania rodičom v aplikácii.
• Zdravotné záznamy (návštevy, očkovania, diagnózy, výsledky vyšetrení, hospitalizácie) sa ukladajú len pridávaním: oprava vytvorí nový záznam a jednotlivý záznam nemožno v aplikácii vymazať. Vymažeme ich spolu s účtom alebo na Vašu žiadosť zaslanú e-mailom. Keď odvoláte súhlas s údajmi o zdraví, okamžite vymažeme všetky údaje o zdraví dieťaťa vrátane dokumentov o zdraví, ibaže druhý rodič s prístupom k údajom o zdraví dieťaťa udelil vlastný súhlas — vtedy zostanú jemu a Vy ich prestanete vidieť (súhlas opatrujúcej osoby, ktorá nie je rodičom dieťaťa, ich nezachová). Pred odvolaním súhlasu si môžete stiahnuť kópiu údajov (§11). V deň 18. narodenín dieťaťa údaje o zdraví vymažeme (§10).
• História súhlasov — uchovávaná aj po odvolaní súhlasu a po vymazaní účtu, v minimálnom rozsahu potrebnom na preukázanie, že súhlas bol udelený (dátum a verzia dokumentu; čl. 7 ods. 1 GDPR) — počas 3 rokov od konca roka, v ktorom bol súhlas odvolaný alebo účet vymazaný.
• Korešpondencia týkajúca sa práv podľa GDPR (vaša žiadosť, napr. o vydanie alebo vymazanie údajov, a naša odpoveď) — počas 3 rokov od konca roka, v ktorom sme vec uzavreli, ako doklad, že sme ju vybavili. Kópie dokladov totožnosti a odpisov súdnych rozhodnutí zaslané na overenie žiadosti vymažeme bezodkladne po ich kontrole (v korešpondencii uchovávanej počas 3 rokov zostáva iba záznam o vykonanom overení). Žiadosti o vymazanie účtu podané na webe majú vlastnú, kratšiu lehotu (nižšie).
• Nahlásenia správ a rozhodnutia o nich — 3 roky od konca roka, v ktorom sme vec uzavreli, aj keď medzitým vymažete účet (potom už bez prepojenia s ním), ako dôkaz, že sme nahlásenie vybavili podľa aktu o digitálnych službách (DSA), a pre prípad nárokov (čl. 6 ods. 1 písm. c) a f) GDPR). Text správy skrytej po nahlásení vymažeme spolu s vecou alebo skôr spolu so správou.
• Verzia aplikácie — jeden záznam na systém telefónu, prepisovaný pri každom otvorení aplikácie. Vymazávame ho spolu s účtom.
• Bezplatný prístup priznaný na e-mailovú adresu — ak účet s touto adresou ešte neexistuje, pozvánka čaká najdlhšie 90 dní, potom adresu vymažeme. Po založení účtu zostane iba prepojenie s účtom; informáciu o priznanom prístupe, označenie testera a poznámku tímu uchovávame do vymazania účtu.
• Spätná väzba a odpovede v ankete — po dobu existencie účtu; vymazávame ich spolu s účtom a sú súčasťou exportu údajov. Číta ich výlučne tím ParentLoop, druhý rodič ich nevidí. Spätná väzba príde aj e-mailom do schránky tímu — túto kópiu vymažeme na vašu žiadosť.
• Údaje z testovania pred spustením — vašu adresu zo zoznamu testerov v Google Play a TestFlight odstránime po skončení vašej účasti na testovaní, najneskôr 30 dní po spustení v danom obchode. Pripomienky a hlásenia o pádoch z Google Play a TestFlight a odpovede v dotazníku po testovaní uchovávame najviac 12 mesiacov od skončenia testovania. E-mail, ktorým prijímate Podmienky, uchovávame rovnako ako históriu súhlasov.
• Prístup dieťaťa do ParentLoop kids — do jeho odvolania rodičom, vymazania profilu dieťaťa alebo vymazania účtu.
• Plány narodenín (hostia, darčeky, rezervácie) — do vymazania plánu rodičom alebo spolu s účtom.
• Kópia kľúča v prístupovom kľúči — do jej vymazania v nastaveniach, zmeny kľúča alebo vymazania účtu.
• Správy medzi rodičmi — odoslanú správu nie je možné v aplikácii upraviť ani vymazať, pretože konverzácia je spoločným záznamom dohôd vo veciach dieťaťa; po nahlásení môže tím nezákonnú správu iba skryť (§6). Správy uchovávame, kým má v rodine niekto účet, a vymažeme ich, keď svoj účet vymaže posledná osoba v rodine. Keď účet vymaže jeden rodič, jeho správy zostanú v konverzácii druhého rodiča, s označením „Vymazaný používateľ“ namiesto mena a bez prepojenia s účtom, kým druhý rodič nevymaže svoj účet alebo kým nevyhovieme námietke (§11). Záznamy o pozastavení a obnovení konverzácie uchovávame rovnako ako správy.
• Notifikácie v aplikácii — 180 dní od odoslania, potom ich automaticky vymažeme. Keď niekto vymaže svoj účet, jeho meno z notifikácií ostatných zmizne; keď mažeme údaje dieťaťa, zmizne z nich meno dieťaťa.
• Žiadosť o vymazanie účtu podaná cez webovú stránku — e-mailová adresa do vymazania účtu alebo odvolania žiadosti (nepotvrdená žiadosť: 30 dní). Potom po dobu 90 dní zostane iba hash adresy a dátumy, ako dôkaz, že sme žiadosť vykonali; následne vymažeme aj ich.
• Údaje dieťaťa po dovŕšení 18 rokov — údaje o zdraví a rodné číslo PESEL vymažeme v deň osemnástych narodenín, ostatné údaje o 3 mesiace neskôr (§10).
• Záložné kópie databázy — vytvárame ich denne a uchovávame 7 dní. Vymazané údaje z nich zmiznú najneskôr po tomto čase; po zálohe siahame výlučne preto, aby sme obnovili databázu po havárii.

10. Keď dieťa dovŕši 18 rokov

Údaje dieťaťa spracúvame v súvislosti s výkonom rodičovských práv a povinností alebo osobnej starostlivosti rodičmi (čl. 6 ods. 1 písm. f) GDPR) a údaje o zdraví a číslo PESEL — na základe súhlasu rodiča. V deň osemnástych narodenín rodičovské práva a povinnosti zanikajú — od tej chvíle o svojich údajoch rozhoduje sama plnoletá osoba. Preto aplikácia vtedy prestane prijímať nové údaje o tejto osobe.

Údaje o zdraví a rodné číslo PESEL vymažeme v deň osemnástych narodenín (ak rodičia nedostali upozornenie asi 30 dní pred narodeninami, vymažeme ich 4 týždne po upozornení). Spracúvali sme ich na základe súhlasu rodiča udeleného v mene dieťaťa a tento základ zaniká spolu s rodičovskými právami. Asi 30 dní vopred dostanú rodičia s prístupom k týmto údajom upozornenie, aby si stihli stiahnuť kópiu (Nastavenia → Stiahnuť moje údaje). Merania výšky a hmotnosti zostávajú spolu s ostatnými údajmi.

Ostatné už uložené údaje zostávajú počas 3 mesiacov viditeľné, exportovateľné a vymazateľné (náš oprávnený záujem: rodičia si môžu pokojne stiahnuť spoločný záznam a plnoletá osoba môže proti tomu namietať — čl. 6 ods. 1 písm. f) GDPR) — zablokovať niekomu prístup k vlastným údajom by bolo presným opakom toho, o čo v GDPR ide. Po 3 mesiacoch ich vymažeme; aplikácia ukazuje rodičom presný dátum. Plnoletá osoba, ktorej údaje sa nachádzajú v ParentLoop, nás môže v tomto čase požiadať o ich vydanie alebo vymazanie. Taká osoba nemá v aplikácii účet, preto jej totožnosť overujeme priamo s ňou: požiadame o niekoľko údajov z jej bývalého profilu (napr. meno, dátum narodenia a s ktorým rodičom bol profil prepojený) a odpovieme na e-mailovú adresu, z ktorej nám napísala. O doklad totožnosti požiadame len vtedy, ak máme dôvodné pochybnosti (čl. 12 ods. 6 GDPR), a rodiča prepojeného s jej bývalým profilom zapojíme iba s jej súhlasom. Ak o doklad požiadame, prosíme o zakrytie fotografie, čísla PESEL a série a čísla dokladu (stačí meno, priezvisko, dátum narodenia a dátum platnosti); zaslanú kópiu ihneď po overení vymažeme. Dokumenty a end-to-end šifrované údaje o zdraví, merania výšky a váhy a číslo PESEL (§5) nemôžeme dešifrovať ani vydať v kópii — môžeme ich však vymazať spolu s celým profilom. Kópiu zašifrovaných údajov môže plnoletej osobe odovzdať rodič, ktorý si stiahne export.

Ak rodič neuviedol dátum narodenia dieťaťa, aplikácia nevie, kedy dieťa dovŕši 18 rokov, a záznam sa preto sám neuzavrie: údaje zostanú, kým ich rodič nevymaže. Keď je dieťa plnoleté, rodič by mal profil dieťaťa vymazať sám (Nastavenia → profil dieťaťa).

11. Vaše práva a ako ich uplatniť

Máte právo na: prístup k údajom, ich opravu, vymazanie, obmedzenie spracúvania, prenosnosť údajov, námietku proti spracúvaniu a odvolanie súhlasu v akomkoľvek momente — čo nemá vplyv na zákonnosť spracúvania pred odvolaním.

Priamo v aplikácii, bez kontaktu s nami:

• Stiahnutie všetkých svojich údajov (čl. 15 a 20 GDPR) — Nastavenia → Stiahnuť moje údaje. Dostanete súbor ZIP; dokumenty dieťaťa sú v ňom dešifrované vo vašom telefóne, preto aplikácia pred stiahnutím požiada o Face ID, Touch ID alebo kód zámku. Telefón bez nastaveného kódu zámku export nestiahne — v takom prípade vám kópiu údajov pošleme na vašu žiadosť, ale bez dokumentov a tých údajov o zdraví, meraní výšky a váhy a čísla PESEL, ktoré sú šifrované end-to-end — tie dešifrovať nemôžeme.
• Vymazanie účtu a údajov (čl. 17 GDPR) — Nastavenia → Vymazanie údajov a účtu. Vymazanie prebehne okamžite.
• Odvolanie súhlasu s údajmi o zdraví a marketingových súhlasov — Nastavenia → Súhlasy. Odvolanie súhlasu s údajmi o zdraví okamžite vymaže údaje o zdraví dieťaťa, ibaže druhý rodič s prístupom k údajom o zdraví dieťaťa má vlastný súhlas (§9); pred odvolaním si môžete stiahnuť kópiu údajov. Rodné číslo PESEL dieťaťa odstránite v nastaveniach dieťaťa.
• Oprava údajov (čl. 16 GDPR) — priamo v profile dieťaťa a v účte. Meno a dátum narodenia dieťaťa opravuje každý z rodičov sám; druhý rodič dostane v aplikácii notifikáciu s pôvodnou a novou hodnotou (push notifikácia na telefón dátum narodenia neobsahuje).

Vymazanie účtu a údajov bez aplikácie

Účet vymažete aj na stránke parentloop.pl/zmazat-ucet: zadáte e-mailovú adresu účtu a vymazanie potvrdíte odkazom z e-mailu. Účet a údaje vymažeme 7 dní po potvrdení, v rovnakom rozsahu ako pri vymazaní v aplikácii. Počas tohto času môžete vymazanie odvolať odkazom z druhého e-mailu a na telefóny prihlásené do tohto účtu posielame notifikáciu — je to ochrana pred situáciou, v ktorej niekto, kto sa dostal do vašej schránky, vymaže váš účet. Ak na zadanej adrese účet neexistuje, neposielame nič a stránka odpovie rovnako — formulár neprezradí, kto má účet.

Už nemáte prístup k e-mailovej adrese účtu? Ak je váš telefón stále prihlásený, vymažte účet v aplikácii (Nastavenia → Vymazanie údajov a účtu) — e-mail na to nepotrebujete. V opačnom prípade sa najprv pokúste obnoviť prístup k schránke u svojho poskytovateľa e-mailu. Ak sa to nepodarí, napíšte na kontakt@parentloop.pl z adresy, ku ktorej máte prístup. Údaje z profilu zvyčajne pozná aj druhý rodič, preto skôr ako účet vymažeme, overíme, že patrí vám (čl. 12 ods. 6 GDPR): požiadame o informácie súvisiace s účtom a vo výnimočných prípadoch (ak ste v profile uviedli meno a priezvisko) môžeme požiadať o kópiu dokladu totožnosti so zakrytou fotografiou, rodným číslom (PESEL), dátumom narodenia a sériou a číslom dokladu. Kópiu dokladu použijeme iba na toto overenie a hneď po ňom ju vymažeme, pričom v korešpondencii ponecháme len záznam o potvrdení totožnosti. Účet potom vymažeme rovnako ako cez formulár — po 7 dňoch; na doterajšiu adresu účtu a na prihlásené telefóny pošleme notifikáciu s možnosťou vymazanie odvolať (chráni to účet pre prípad, že by písal niekto iný) a vy môžete počas tohto času vymazanie odvolať aj v odpovedi na našu správu.

Vymazanie účtu a druhý rodič

Profil dieťaťa je zdieľaný. Ak vymažete svoj účet a druhý rodič ParentLoop ďalej používa, údaje dieťaťa zostanú dostupné pre neho — je samostatným používateľom s vlastným právnym základom spracúvania. Vymazávajú sa vaše údaje účtu a tie údaje, pri ktorých ste jediným priradeným rodičom. Aplikácia pred vymazaním zobrazí, čo presne zmizne a čo zostane.

Druhý rodič dostane notifikáciu, že účet bol vymazaný — bez vášho mena. Správy, ktoré ste odoslali, zostanú v jeho konverzácii, s označením „Vymazaný používateľ“ namiesto vášho mena a bez prepojenia s vaším účtom: je to aj jeho korešpondencia vo veciach dieťaťa a ich vymazanie by mu odňalo možnosť preukázať, čo bolo dohodnuté (čl. 6 ods. 1 písm. f) a čl. 17 ods. 3 písm. e) GDPR). Proti ponechaniu všetkých alebo vybraných správ môžete podať námietku (čl. 21 ods. 1 GDPR) na adrese kontakt@parentloop.pl (ak už bol účet vymazaný, uveďte prosím meno dieťaťa a približný dátum a obsah správ, aby sme ich vedeli vyhľadať). Posúdime ju bez zbytočného odkladu, najneskôr do jedného mesiaca, a zvážime pri tom vašu konkrétnu situáciu, záujem druhého rodiča a najlepší záujem dieťaťa:

• Námietke vyhovieme a správu (alebo jej príslušnú časť) vymažeme aj u druhého rodiča, ak jej ponechanie ohrozuje vašu bezpečnosť (napr. prezrádza vašu novú adresu alebo pracovisko a vy uvediete násilie, obťažovanie alebo zákaz priblíženia sa), ak sa týka výlučne vás alebo tretích osôb, a nie vecí dieťaťa, ak bola odoslaná omylom a nezakladá sa na nej žiadna dohoda, alebo ak druhý rodič s jej vymazaním súhlasí.
• Námietku zamietneme, ak správa dokumentuje dohody vo veciach dieťaťa (starostlivosť, odovzdávanie, cesty, liečba, škola, výdavky), je dôkazom v prebiehajúcom alebo ohlásenom konaní, týka sa nahláseného porušenia Podmienok používania (napr. vyhrážok), alebo ak by jej vymazanie zmenilo zmysel odpovedí druhého rodiča.

Žiadosti súdov, orgánov a druhého rodiča

• Údaje poskytujeme súdom, prokuratúre, polícii a iným orgánom iba vtedy, keď to vyžaduje právny predpis — po overení základu žiadosti a výlučne v rozsahu, ktorého sa žiadosť týka.
• Jednému rodičovi neposkytujeme údaje druhého rodiča nad to, čo už vidí v aplikácii. Ak potrebujete materiál pre súdne konanie, použite export údajov (Nastavenia → Stiahnuť moje údaje).
• Export a záznamy z aplikácie nie sú úradnými dokumentmi. Nezaručujeme, že súd alebo orgán ich uzná ako dôkaz určitého obsahu alebo dátumu.

Kontakt a sťažnosť

V každej z týchto vecí nám môžete tiež napísať na kontakt@parentloop.pl — odpovedáme bez zbytočného odkladu, najneskôr do jedného mesiaca. Máte tiež právo podať sťažnosť predsedovi poľského Úradu na ochranu osobných údajov (Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa).

12. Bezpečnosť

• Prístup k údajom každého dieťaťa je vynucovaný na úrovni databázy, nie iba v aplikácii — rodič bez oprávnenia k danému dieťaťu jeho údaje neprečíta ani mimo aplikácie.
• Spojenia z aplikácie sú šifrované (TLS) a údaje v databáze a v súboroch sú šifrované pri uložení.
• Dokumenty dieťaťa, a keď majú kľúč všetky osoby s prístupom k údajom o zdraví dieťaťa, aj údaje o zdraví, sú navyše šifrované end-to-end (§5).
• Pri zakladaní účtu a zmene hesla odmietame heslá, ktoré unikli pri známych incidentoch. Kontrolu vykonáva náš server: službe Have I Been Pwned posiela iba krátky úryvok hashu hesla, nikdy samotné heslo ani IP adresu vášho telefónu.
• Keď sa po prvých 24 hodinách od založenia účtu niekto prihlási do vášho rodičovského účtu, dostanete upozornenie v aplikácii a — ak máte povolené upozornenia — aj do telefónu, s približným typom zariadenia (iPhone alebo iPad, telefón alebo tablet s Androidom, webový prehliadač alebo iné zariadenie). V Nastaveniach → Súkromie a údaje → Prihlásené zariadenia vidíte aktívne relácie (odkedy je účet prihlásený a kedy bolo zariadenie naposledy aktívne) a môžete ľubovoľné zariadenie odhlásiť; prístup skončí najneskôr do hodiny. Prihlasovacia služba počas trvania relácie ukladá IP adresu a technickú informáciu odosielanú aplikáciou alebo prehliadačom (User-Agent), z ktorej čítame iba typ zariadenia; IP adresu nikde nezobrazujeme ani ju nezahŕňame do exportu údajov. Právny základ: plnenie zmluvy (čl. 6 ods. 1 písm. b GDPR — správa relácií) a náš aj váš oprávnený záujem (čl. 6 ods. 1 písm. f GDPR — bezpečnosť účtu a ochrana pred neoprávneným prístupom; príjemcovia pre hosting a upozornenia — §8). Relácia zmizne zo zoznamu po odhlásení, po automatickom vypršaní z dôvodu nečinnosti alebo spolu so zmazaním účtu, samotné upozornenie v aplikácii uchovávame 180 dní (§9).
• História zdravotných záznamov (návštevy, očkovania, diagnózy, výsledky vyšetrení, hospitalizácie) sa ukladá v režime len na pridávanie — oprava vytvorí nový záznam namiesto prepísania predchádzajúceho.

13. Prístup tímu ParentLoop

Prístup k produkčným údajom má výlučne úzky, menovite určený kruh osôb z tímu ParentLoop, a to výlučne na účely technickej správy, podpory používateľov a posudzovania nahlásení zneužitia — nikdy na marketingové účely. Zašifrované dokumenty, číslo PESEL ani zašifrované údaje o zdraví (§5) tím nedokáže prečítať žiadnym spôsobom.

14. Deti a ParentLoop kids

Aplikácia ParentLoop je určená výlučne pre dospelé osoby — rodičov a opatrovníkov. Pre deti vo veku od 7 do 16 rokov existuje samostatná aplikácia, ParentLoop kids:

• Prístup dieťaťu zriaďuje rodič: aplikácia rodiča zobrazí jednorazový QR kód s platnosťou 10 minút, ktorý dieťa naskenuje v ParentLoop kids. Dieťa nezadáva e-mailovú adresu, telefónne číslo ani heslo. Zmluvu s nami uzatvára rodič, nie dieťa.
• Dieťa vidí: u ktorého rodiča v daný deň je, udalosti z kalendára spolu so zoznamom vecí na zbalenie, rozvrh hodín s učebňou a vyučujúcim a krúžky, svoje domáce povinnosti a svoje vreckové za posledných 8 týždňov (iba sumy) — sumy môže rodič pred dieťaťom skryť. Aplikácia dieťa neporovnáva so súrodencami.
• Dieťa nevidí správy medzi rodičmi, dokumenty, údaje o zdraví ani výdavky a vyúčtovania.
• Z telefónu dieťaťa ukladáme iba to, čo je potrebné na fungovanie: priradenie zariadenia k profilu dieťaťa, povinnosti, ktoré dieťa odškrtne, udalosti, ktoré si samo pridá do kalendára, token push notifikácií a jazyk telefónu (aby sme posielali notifikácie v správnom jazyku). Dieťa si môže na svojom profile nastaviť PIN; zostáva výlučne v zariadení a na náš server sa nedostane.
• Vzhľad ParentLoop kids prispôsobujeme veku dieťaťa: dieťa mladšie ako 16 rokov dostane nový vzhľad s tapetou, staršie dieťa alebo dieťa, ktorého dátum narodenia nepoznáme, doterajší vzhľad. Vek sa počíta v telefóne dieťaťa z dátumu narodenia, ktorý rodič zadal v profile dieťaťa, a nikde sa neukladá. Dieťa môže vzhľad zmeniť v Profile; táto voľba zostáva len v zariadení.
• Dieťa si môže do kalendára pridať vlastnú udalosť (napr. písomku, tréning alebo prekvapenie pre rodiča) a prepínačom „Ukázať rodičom“ samo rozhodnúť, či ju rodičia uvidia. Udalosť ukladáme na našom serveri. Ak ju dieťa nezdieľa, rodičia ju nevidia vo svojej aplikácii ani v exporte údajov. Vymažeme ju, keď ju dieťa vymaže, alebo spolu s profilom dieťaťa či účtom.
• Každý rodič oprávnený k údajom dieťaťa môže prístup dieťaťa kedykoľvek odvolať — s okamžitým účinkom. Keď jeden rodič zriadi dieťaťu prístup, druhý o tom dostane notifikáciu.

15. Webová stránka: cookies a zoznam čakateľov

Táto stránka nepoužíva cookies na marketingové ani analytické účely. Mobilná aplikácia neobsahuje žiadne externé sledovacie ani reklamné nástroje.

Kým aplikácia nie je dostupná v obchodoch, na stránke sa možno zapísať na zoznam čakateľov. Je to iný účel než používanie aplikácie, preto ho opisujeme osobitne:

• Čo zbierame: e-mailovú adresu, jazyk stránky, informáciu o tom, z ktorého formulára zápis pochádza, dátum zápisu, dátum potvrdenia a verziu textu formulára, ktorú ste akceptovali. Nič nad to — nepýtame sa na meno ani na akékoľvek údaje dieťaťa.
• Na čo: aby sme poslali jednu správu v deň vydania aplikácie. Nevedieme newsletter a adresu nikomu ďalej neposkytujeme.
• Právny základ: váš súhlas (čl. 6 ods. 1 písm. a) GDPR). Po odoslaní formulára dostanete jeden e-mail s odkazom; súhlas vyjadríte kliknutím na „Potvrdiť“ na stránke, na ktorú vedie. Odkaz je platný 7 dní. Bez potvrdenia vám okrem tohto odkazu nepošleme nič — vďaka tomu nikto nezapíše na zoznam cudziu adresu.
• Ako dlho: nepotvrdený zápis vymažeme po 30 dňoch. Potvrdený — po odoslaní oznámenia o vydaní, a ak sa vydanie oneskorí, najneskôr 24 mesiacov od zápisu.
• Odvolanie súhlasu: kedykoľvek, jedným e-mailom na adresu z bodu 17. Adresu potom zo zoznamu vymažeme a nepošleme už nič ďalšie.
• Kam údaje idú: formulár spravuje Cloudflare (hosting stránky), adresu ukladáme v databáze Supabase v Európskej únii — tam, kde údaje aplikácie — a e-mail s odkazom posiela Brevo (bod 8).

Zápis na zoznam čakateľov nezakladá účet v aplikácii a nie je nijako spojený s účtom, ak si ho vytvoríte neskôr.

16. Zmeny zásad

Tieto zásady aktualizujeme, keď sa mení to, čo s údajmi robíme. E-mailom na adresu priradenú k účtu vám najmenej 14 dní pred nadobudnutím účinnosti zmeny oznámime, keď začneme už získané údaje využívať na nový účel alebo novým spôsobom, keď pridáme nového poskytovateľa alebo keď sa zmení prevádzkovateľ. Novú, dobrovoľnú funkciu — ktorú nemusíte používať a ktorá nemení to, čo sa deje s už uloženými údajmi — opíšeme v zásadách v deň jej sprístupnenia a informujeme o nej v aplikácii; dátum a číslo verzie nájdete v hornej časti tejto stránky. Ak zmena vyžaduje nový súhlas, vyžiadame si ho osobitne — ďalšie používanie aplikácie súhlas nenahrádza. Zaznamenávame, ktorú verziu zásad ste akceptovali.

17. Kontakt

Vo veciach týkajúcich sa týchto zásad: kontakt@parentloop.pl. Adresa na písomnú korešpondenciu: ParentLoop sp. z o.o., ul. Grójecka 210, 02-390 Warszawa, Poľsko.

A ParentLoop adatvédelmi szabályzata

Utolsó frissítés: 2026. november 1. · 4.22-es verzió

1. Ki felel az Ön adataiért

A ParentLoop és a ParentLoop kids alkalmazásban, valamint a parentloop.pl oldalon kezelt személyes adatok adatkezelője a ParentLoop sp. z o.o. (lengyel korlátolt felelősségű társaság), székhelye: ul. Grójecka 210, 02-390 Warszawa, Lengyelország. A társaságot a Sąd Rejonowy dla m.st. Warszawy w Warszawie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego (Varsói Kerületi Bíróság, XII. Gazdasági Osztály) által vezetett Országos Bírósági Nyilvántartás (Krajowy Rejestr Sądowy) vállalkozói nyilvántartásába 0001272931 KRS-szám alatt vették fel; NIP-szám (adószám): 7011335937, REGON-szám: 545952514, jegyzett tőke: 5 000,00 PLN.

Adatvédelmi ügyekben a kapcsolattartás: kontakt@parentloop.pl. Adatvédelmi tisztviselőt nem jelöltünk ki — az adatkezelés jelenlegi mértéke mellett ez nem kötelező; ezt az értékelést a mérték növekedésével újra elvégezzük.

2. Röviden

Az összefoglaló nem helyettesíti az alábbi szöveget — a teljes szabályzat a kötelező érvényű.

3. Milyen adatokat kezelünk, mire és milyen jogalapon

Nem gyűjtünk az eszköz helyére vonatkozó adatot, nem alkalmazunk profilalkotást, sem joghatást kiváltó automatizált döntéshozatalt, és nem használunk sem hirdetési eszközöket, sem a felhasználókat alkalmazások között követő analitikát. Az Ön és a gyermekek adatait nem küldjük el külső mesterségesintelligencia-szolgáltatásoknak (például chatbotoknak vagy felhőben futó MI-modelleknek), és nem használjuk fel MI tanítására; a fényképeken lévő szöveget és a beillesztett címet a telefonon olvassuk ki (§7).

Tesztelés a bevezetés előtt. Ha az alkalmazást a bevezetése előtt teszteli, a következőket is kezeljük: Google- vagy Apple-fiókjának e-mail-címét a Google Play vagy a TestFlight tesztelői listáján, a meghívóval és a Felhasználási feltételek elfogadásának megerősítésével kapcsolatos levelezést, a Google Playen, a TestFlighton vagy e-mailben küldött észrevételeit (a TestFlightból a csatolt képernyőképeket, összeomlási jelentéseket, a telefon típusát és a rendszer verzióját is), valamint a tesztelés utáni kérdőívre adott válaszait. Ezt azért tesszük, hogy elérhetővé tegyük Önnek a tesztverziót (a GDPR 6. cikk (1) bekezdés b) pontja), és az észrevételek alapján fejlesszük az alkalmazást (jogos érdekünk, a GDPR 6. cikk (1) bekezdés f) pontja; tiltakozhat, §11). A tesztelésben való részvétel, az észrevételek és a kérdőív önkéntesek. Észrevételeihez ne küldjön egészségügyi adatokat vagy PESEL-számot tartalmazó képernyőképet. Amit az alkalmazásba beír, a bevezetés után is a fiókjában marad, ahogy minden felhasználónál.

Az alkalmazás verziójának kiolvasása a telefonról nem igényli az Ön hozzájárulását, mert elengedhetetlen az Ön által használt szolgáltatás nyújtásához (az elektronikus hírközlésről szóló lengyel törvény [ustawa — Prawo komunikacji elektronicznej] 399. cikke): nélküle nem tudjuk, hogy a hibajavítás eljutott-e Önhöz. Ennek során nem rögzítjük sem az eszköz azonosítóját, sem az IP-címet, sem azt, hogy az alkalmazás mely funkcióit használja, és nem tárolunk előzményeket — az alkalmazás minden megnyitása felülírja az előző bejegyzést.

Mely adatok megadása kötelező. A fiók létrehozásához szükségünk van az Ön keresztnevére és e-mail-címére (valamint jelszóra, kivéve, ha e-mailben küldött linkkel jelentkezik be), a gyermek hozzáadásához pedig a gyermek keresztnevére. A gyermek hozzáadásakor Ön arról is nyilatkozik, hogy felette szülői felügyeletet vagy gondozást gyakorol, illetve szülő meghívására segít a gondozásában; e nyilatkozat nélkül a gyermeket nem tudja hozzáadni. Az adatok megadása önkéntes, és jogszabály nem írja elő, de a fent felsorolt adatok nélkül nem tudunk szerződést kötni, és nem hozhat létre fiókot. Minden egyéb adatot (például születési dátumot, fényképet, PESEL-számot, egészségügyi adatokat, dokumentumokat, bejegyzéseket, visszajelzéseket) csak akkor ad meg, ha szeretné; ha valamit nem ad meg, csak az a funkció nem működik, amelyiknek szüksége van rá — például születési dátum nélkül az alkalmazás nem javasol az életkornak megfelelő házimunkát.

4. Olyan adatok, amelyeket nem Ön maga adott meg nekünk

A ParentLoop a természeténél fogva úgy működik, hogy az egyik szülő viszi be a gyermekre vonatkozó adatokat, és néha a másik szülő adatait is (például azokat a napokat, amikor a gyermek nála van, a gyermek átadásait és az őt érintő kiadásokat). Ez azt jelenti, hogy olyan személy adatait is kezelhetjük, aki azokat nem maga adta át nekünk.

• Az adatok forrása: a ParentLoopot használó másik szülő vagy gondviselő.
• Terjedelem: a §3-ban felsorolt kategóriák.
• Születésnapi vendégek: ha a szülő beírja a gyermek születésnapjára hívott vendégek keresztnevét, kizárólag a keresztnevet tároljuk — családi név és elérhetőség nélkül. Ezeket csak az adott gyermek szülei látják, és a születésnap tervével vagy a fiókkal együtt töröljük őket. Ezeket a gyermekeket és szüleiket nem ismerjük, és annak kiderítése, kik ők, további adatok gyűjtésével járna, ezért közvetlenül nem tájékoztatjuk őket (a GDPR 14. cikk (5) bekezdés b) pontja).
• Tanárok: ha a szülő beírja az órarendet, vagy fényképről olvassa be, az óra mellett a tanárt úgy tároljuk, ahogyan megadták — elérhetőség nélkül. Az adott gyermek szülei és a gyermek a ParentLoop kids alkalmazásban látják, és az órarenddel vagy a fiókkal együtt töröljük. A tanárok elérhetőségével nem rendelkezünk, és annak felkutatása további adatok gyűjtésével járna, ezért közvetlenül nem tájékoztatjuk őket (a GDPR 14. cikk (5) bekezdés b) pontja).
• A szülő által megadott más személyek: a gyermek orvosa (az egészségügyi adatok között) vagy egy eseménynél megadott személy, például edző. Csak azt tároljuk, amit a szülő megad. A jogalap a jogos érdekünk: a szülők így megszervezhetik a gondoskodást, és sürgős helyzetben kéznél vannak ezek az információk (a GDPR 6. cikk (1) bekezdés f) pontja). Ezeket a személyeket közvetlenül nem tájékoztatjuk (a GDPR 14. cikk (5) bekezdés b) pontja): nincsenek meg az elérhetőségeik, és semmilyen kapcsolatban nem állunk velük, az elérhetőség felkutatása vagy az orvosnak, edzőnek írt levél pedig további adatok gyűjtésével járna, és elárulná nekik, hogy a család használja az alkalmazást, és hogyan gondoskodik a gyermekről. Csak a gyermek szülei látják őket, a naptárbejegyzéseket a gyermek is a ParentLoop kidsben; a bejegyzéssel vagy a fiókkal együtt töröljük őket.
• A meghívott szülő a csatlakozás után ugyanazokat a gyermekadatokat látja, javíthatja és kiegészítheti őket, valamint gyakorolhatja a §11-ben leírt összes jogát.
• Hogyan értesül erről a másik szülő: a meghívót Ön küldi el — a saját e-mail-fiókjából vagy üzenetküldőjéből; a másik szülő e-mail-címét és telefonszámát nem kapjuk meg. Amikor a másik szülő csatlakozik, a fiók létrehozásakor megismeri ezt a tájékoztatót. Amíg nem csatlakozik, nincs módunk kapcsolatba lépni vele, ezért közvetlenül nem tájékoztatjuk (a GDPR 14. cikk (5) bekezdés b) pontja); ez a tájékoztató nyilvánosan elérhető, és az a meghívószöveg, amelyet az alkalmazás elküldésre előkészít, hivatkozást tartalmaz rá.
• Hogyan védjük ezeknek a személyeknek a jogait: a közvetlen tájékoztatás helyett ezt a tájékoztatót közzétesszük a parentloop.pl/privacy címen, a megadott adatokat csak a gyermek családja látja, ezeknek a személyeknek semmit sem küldünk, nem profilozzuk őket, adataikat nem használjuk marketingre, és a bejegyzéssel vagy a fiókkal együtt töröljük őket. Bármelyikük tiltakozhat vagy kérheti adatai törlését a §17-ben megadott címen.
• Az a szülő, aki a gyermek adatait beviszi, kijelenti, hogy erre joga van — ez általában a szülői felügyeletből következik. A ParentLoop nem vizsgálja és nem dönti el a szülői felügyelettel, sem a gondoskodás terjedelmével kapcsolatos jogvitákat.

5. Dokumentumok és egészségügyi adatok — végpontok közötti titkosítás

A gyermek dokumentumai (például bírósági ítéletek, egyezségek, nevelési tervek) a szülő eszközén titkosítódnak, még azelőtt, hogy elhagynák a telefont. Titkosítjuk mind a fájl tartalmát, mind a megnevezését. A privát kulcsok nem hagyják el a szülők eszközeit. A dokumentum típusát (például útlevél) és érvényességi dátumát nem titkosítjuk — így tud az alkalmazás emlékeztetni a lejáró érvényességre, és így veti össze azt az utazás dátumaival.

A gyermek egészségügyi adatait ugyanígy, gyermekenként külön titkosítjuk. Az egészségügyi adatok kulcsa automatikusan létrejön annak a szülőnek a telefonján, aki hozzáfér ezekhez az adatokhoz, hozzájárult az egészségügyi adatok kezeléséhez, és van a telefonján dokumentumkulcs (a titkosítás a Beállításokban kézzel is bekapcsolható); a kulcs átadása a másik szülőnek vagy gondviselőnek egyetlen megerősítést (a kulcs ujjlenyomatának összevetését) igényel. A titkosítás akkor lép életbe, amikor minden olyan személy rendelkezik a kulccsal, aki hozzáfér az adott gyermek egészségügyi adataihoz — a szülők, valamint a gondviselő is, ha megkapta ezt a jogosultságot. Ekkor az allergiák, a gyógyszerek, a krónikus betegségek, a vércsoport, a feljegyzések, a bejegyzések (vizitek, védőoltások, diagnózisok, vizsgálati eredmények, kórházi tartózkodások), valamint a magasság- és testsúlymérések a telefonon titkosítódnak, még mielőtt a szerverünkre kerülnének; a szerveren továbbra is látjuk, hogy a bejegyzés létezik, látjuk a dátumát és azt, hogy ki adta hozzá. Amíg a kulccsal nem rendelkezik minden olyan személy, aki hozzáfér az adott gyermek egészségügyi adataihoz, ezeket az adatokat a korábbiak szerint tároljuk — védetten, de nem végpontok között titkosítva —, az alkalmazás pedig megmutatja, kire vár.

A gyermek PESEL-száma, ha Ön beírja, mindig a telefonon titkosítódik — mindegyik szülő számára külön, az ő dokumentumkulcsával —, még mielőtt a szerverünkre kerülne. Nem tudjuk elolvasni. A szerveren csak azt látjuk, hogy a számot elmentették, és azt, hogy mely szülők számára. A szám elmentéséhez a dokumentumokhoz tartozó kulcs szükséges.

A gyakorlatban ez azt jelenti, hogy sem mi, sem a hosztingszolgáltató nem tudjuk elolvasni ezeket az adatokat — még akkor sem, ha akarnánk, és akkor sem, ha valaki hozzáférést szerezne az adatbázishoz. E megoldás következménye: ha Ön elveszíti a hozzáférést az összes eszközéhez, és nem készít biztonsági mentést a kulcsról, nem tudjuk visszaállítani sem ezeket a dokumentumokat, sem a titkosított egészségügyi adatokat, a magasság- és súlyméréseket vagy a PESEL-számot.

Kulcsmásolat az azonosítókulcsban (passkey). A kulcsát úgy mentheti biztonságba, hogy azonosítókulcsot ment az Apple Jelszavak alkalmazásba vagy a Google Jelszókezelőbe. Ekkor a kulcsának titkosított másolatát tároljuk, amelyet csak ez az azonosítókulcs nyithat meg — mi nem. A másolatot a dokumentumkulcs beállításaiban törölheti; eltűnik akkor is, ha kulcsot cserél, és a fiókkal együtt is. Bárki, aki ismeri az Apple- vagy a Google-fiókjához tartozó jelszót és az egyik eszközének a kódját, használhatja ezt az azonosítókulcsot.

Hová írja az egészségügyi információkat. A végpontok közötti titkosítás és az egészségügyi adatokhoz adott hozzájárulás az egészség részre és az egészségügyi dokumentumokra vonatkozik. A kiadásokba, üzenetekbe és a naptárba csak azt írja, ami a szervezéshez szükséges (pl. „orvosi vizit”, „gyógyszertár”), a gyermek egészségével kapcsolatos részleteket pedig az egészség részben rögzítse.

6. A szülők közötti üzenetek

Itt teljesen őszinték szeretnénk lenni: az üzenetek nincsenek végpontok között titkosítva. A szerverünkön olyan formában tároljuk őket, amely lehetővé teszi az elolvasásukat. Ennek két olyan funkció az oka, amelyet a családok biztonsága szempontjából fontosabbnak tartottunk a teljes titkosításnál:

• Trágárságszűrő — az üzenet tartalmát a mentés előtt automatikusan ellenőrizzük, az észlelt trágár szavakat pedig elmaszkoljuk. Ez automatikus szövegfeldolgozás, emberi közreműködés nélkül.
• Visszaélések bejelentése és a beszélgetés szüneteltetése — a szülő bejelenthet egy üzenetet. A bejelentett üzenetet a ParentLoop csapatának egy kijelölt tagja elolvashatja a bejelentés elbírálása céljából. Ezen az eseten kívül a csapatból senki nem olvassa a szülők levelezését. A beszélgetést bármelyik fél szüneteltetheti is: amíg az, aki szüneteltette, nem folytatja, a beszélgetésben senki nem küldhet új üzenetet. Rögzítjük, ki és mikor szüneteltette és folytatta a beszélgetést; ezt mindkét fél látja a beszélgetésben és annak exportjában, a másik fél pedig értesítést kap. Bejelentés után a jogsértő üzenetet mindkét fél elől elrejthetjük (a beszélgetésben jelezzük, hogy a ParentLoop rejtette el, a szövegét pedig bizonyítékként megőrizzük fellebbezés esetére vagy a bűnüldöző hatóságok számára), vagy szüneteltethetjük a beszélgetést; az így szüneteltetett beszélgetést csak mi folytathatjuk.

Ha a bejelentés után korlátozzuk az Ön fiókját, megkapja tőlünk a döntés indokolását, és jogorvoslattal élhet ellene — a szabályokat a Felhasználási feltételek írják le.

Ha olyan tartalmat szeretne átadni a másik szülőnek, amelyet nem akar a szerverre bízni, használja a titkosított dokumentumokat (§5).

7. Szövegfelismerés fényképekről: nyugták és órarend

Az összegek és a dátumok kiolvasása a nyugtákról helyben, az eszközön történik. Sem a nyugta fényképét, sem a belőle kiolvasott szöveget nem küldjük el egyetlen külső szövegfelismerő szolgáltatásnak sem. A szerverünkre csak a kiadáshoz mentett fénykép és a kiolvasott adatok kerülnek, ha Ön azokat jóváhagyja. Android rendszerű telefonokon a szöveg eszközön történő kiolvasásához a Google ML Kit könyvtárat használjuk, amely diagnosztikai adatokat küld a Google-nak az eszközről és a kiolvasás működéséről (a fénykép és a kiolvasott szöveg nélkül — §8).

Az órarendet is beolvashatja fényképről. A szöveget a telefonon olvassuk ki, a fénykép alkalmazásbeli másolatát pedig a kiolvasás után azonnal töröljük — sem a fénykép, sem a kiolvasott szöveg nem kerül a szerverünkre vagy külső szolgáltatáshoz (Androidon a Google ML Kit könyvtár kizárólag diagnosztikai adatokat küld a Google-nak — §8). Csak azokat az órákat mentjük el, amelyeket Ön jóváhagy.

Cím beillesztésekor üzenetből vagy jegyzetből egy eseménybe a telefon olvassa ki a címet, és sehová nem küldi el. iPhone-on ezt a telefon rendszere végzi. Androidon ehhez a Google ML Kit könyvtárat használjuk, de csak akkor, ha nyugta vagy órarend beolvasásakor hozzájárult az ML Kit használatához (ezt a Beállítások → Hozzájárulások menüben vonhatja vissza); első használatkor letölt a Google-tól egy nyelvi modellt, és a Google-nak csak diagnosztikai adatokat küld, a beillesztett szöveget soha (§8). E hozzájárulás nélkül a címet pontosan úgy illesztjük be, ahogyan kimásolta.

8. Kire bízzuk az adatokat

Az alkalmazásban lévő adatok kizárólag az adott gyermek profiljához kapcsolt szülők és gondviselők számára láthatók. Olyan szolgáltatókat veszünk igénybe, amelyek az adatokat kizárólag a mi utasításunkra, adatfeldolgozási szerződés alapján kezelik:

Az adatbázist és a fájlokat az Európai Unióban tároljuk. Az adatok EGT-n kívülre történő továbbítása (az értesítési és a frissítési szolgáltatók esetében) az Európai Bizottság megfelelőségi határozata (EU–US Data Privacy Framework — a tanúsítvánnyal rendelkező szervezetek esetében), valamint az Európai Bizottság által elfogadott általános adatvédelmi kikötések alapján történik.

A címjavaslatokat a Google Maps Platform (Places API) adja. Amikor beírja egy esemény címét, a telefon a beírt szöveget közvetlenül a Google LLC-nek (USA) küldi el, amely közben a telefon IP-címét is látja. A Google ezeket az adatokat önálló adatkezelőként, a saját szabályai szerint kezeli (a Google Maps adatkezelőkre vonatkozó adatvédelmi feltételei és a Google adatvédelmi irányelvei), nem a mi utasításunkra — ezért nem szerepel a fenti táblázatban. A Google-hoz csak az jut el, amit a cím mezőbe beír, a fiókadatai és a gyermek neve nélkül. Szöveg kiolvasása fényképekről Androidon: a nyugta vagy az órarend fényképéről történő szövegkiolvasáskor (§7) a Google ML Kit könyvtár elmenti a telefonon a saját telepítési azonosítóját, valamint kiolvassa és elküldi a Google LLC-nek (USA) az eszközre és a kiolvasás működésére vonatkozó diagnosztikai adatokat: a gyártót, a telefon modelljét és a rendszer verzióját, az elérhető hardveres gyorsítókat, az alkalmazás nevét és verzióját, a könyvtár telepítési azonosítóját, a futási időket, a kép formátumát és felbontását, a bemeneti és kimeneti adatok méretét, a funkció verzióját, az esemény típusát és a hibakódokat (a kapcsolódáskor a Google a telefon IP-címét is látja) — magát a fényképet vagy a belőle kiolvasott szöveget soha. A Google ezeket az adatokat önálló adatkezelőként, az ML Kit könyvtár diagnosztikája és használatelemzése céljából kezeli, a Google APIs / ML Kit szolgáltatási feltételei és a Google adatvédelmi irányelvei szerint. Az adatok USA-ba történő továbbítása az Európai Bizottság EU–US Data Privacy Framework programra vonatkozó határozatán (amennyiben a Google LLC abban aktív tanúsítvánnyal rendelkezik) vagy általános adatvédelmi kikötéseken alapul.

Naptár a telefonon. Ha a Beállításokban bekapcsolja a naptár-előfizetést, létrehozunk egy privát linket, amelyet az Ön által választott naptárhoz ad hozzá (pl. Apple Naptár és iCloud, Google Naptár, Outlook). Ez a szolgáltatás néhány óránként letölti szerverünkről a §3-ban leírt adatokat, és a saját szabályai szerint tárolja őket — önálló adatkezelőként, akit Ön választ, nem a mi utasításunkra —, ezért nem szerepel a fenti táblázatban. Egyes ilyen szolgáltatások az EGT-n kívül, például az USA-ban kezelik az adatokat. A link jelszóként működik: aki birtokolja, ugyanazokat az adatokat látja, ezért ne ossza meg másokkal. Bármikor kikapcsolhatja, vagy újat hozhat létre — a régi ekkor azonnal megszűnik. A naptárban azok a gondozási napok és a másik szülő által hozzáadott események is szerepelnek, amelyeket Ön az alkalmazásban lát; a másik szülő az alkalmazásban látja, hogy Önnél be van kapcsolva az előfizetés.

Ugyanez érvényes Androidon, amikor címet illeszt be egy eseménybe (§7), ha hozzájárult az ML Kit használatához: a beillesztett szöveg soha nem hagyja el a telefont.

Amikor elindítjuk a fizetéseket, az előfizetéseket kizárólag az Apple (App Store) vagy a Google (Google Play) fogja kezelni — a fizetési adatok önálló adatkezelőiként, saját szabályaik szerint. Nem látjuk az Ön kártyaszámát; csak azt az információt kapjuk meg, hogy az előfizetés aktív, és megkapjuk annak azonosítóját. Az előfizetés állapotát a RevenueCat (RevenueCat, Inc., USA) fogja a számunkra ellenőrizni adatfeldolgozóként, az Európai Bizottság EU–US Data Privacy Framework programra vonatkozó határozata (amennyiben abban aktív tanúsítvánnyal rendelkezik) vagy az általános adatvédelmi kikötések alapján: egy véletlenszerű családazonosítót kap — keresztnevek és e-mail-cím nélkül —, megkapja a vásárlásnak az áruház által átadott adatait, valamint a telefon alapvető technikai adatait (rendszer, alkalmazásverzió, az áruház országa). Mielőtt a fizetések elindulnak, erről e-mailben tájékoztatjuk (§16).

Tesztelés a Google Playen és a TestFlighton. Az alkalmazás tesztverzióját, annak frissítéseit, valamint a Google Playen vagy a TestFlight alkalmazásban küldött észrevételeket és összeomlási jelentéseket a Google (Google Ireland Limited és Google LLC, USA) vagy az Apple (Apple Distribution International Ltd. és Apple Inc., USA) kezeli önálló adatkezelőként, a Google Play és a TestFlight tesztprogramjainak szabályai szerint. A tesztelés menetét és az Ön által küldött észrevételeket konzoljaikban teszik elérhetővé számunkra (§3). Az adatok USA-ba történő továbbítása az Európai Bizottság EU–US Data Privacy Framework keretrendszerről szóló határozata vagy általános szerződési feltételek alapján történik.

A nap terve, amelyet Ön küld el. Ha a gyermekek egy otthonban élnek, elküldheti a nap tervét valakinek, akinek nincs fiókja, például a nagymamának vagy egy bébiszitternek: a dátumot, a gyermekek keresztnevét, a nap eseményeit időponttal és helyszínnel, a tanítás vagy az óvoda végét, valamint annak keresztnevét, aki a gyermeket elhozza. A tervet Ön küldi el, az Ön által választott alkalmazással és címzettnek. A ParentLoop ehhez semmit nem küld, és nem rögzíti, kinek továbbította. Az elküldött másolat ettől kezdve a ParentLoopon kívül van: nem tudjuk kijavítani vagy törölni.

9. Mennyi ideig tároljuk az adatokat

• A fiókadatok és a gyermek adatai — az alkalmazás használatának idejére. Akkor töröljük őket, amikor Ön törli a fiókját (§11).
• Naptárlink (§8) — addig működik, amíg ki nem kapcsolja, vagy újat nem hoz létre, és a fiók törlésével megszűnik. A naptárról nem tárolunk külön másolatot — az adatokat minden letöltéskor állítjuk össze. A naptára által már letöltött események ott maradhatnak, amíg az előfizetést el nem távolítja a naptárából.
• Az egyes bejegyzések (kiadás, esemény, dokumentum, mérés) — addig, amíg a szülő az alkalmazásban törli őket.
• Az egészségügyi bejegyzéseket (vizitek, védőoltások, diagnózisok, vizsgálati eredmények, kórházi kezelések) csak hozzáfűzéssel tároljuk: a javítás új bejegyzést hoz létre, egy-egy bejegyzés pedig az alkalmazásban nem törölhető. A fiókkal együtt vagy az Ön e-mailben küldött kérésére töröljük őket. Ha visszavonja az egészségügyi adatokhoz adott hozzájárulását, azonnal töröljük a gyermek összes egészségügyi adatát, az egészségügyi dokumentumokkal együtt, kivéve, ha a gyermek egészségügyi adataihoz hozzáférő másik szülő saját hozzájárulást adott — ilyenkor nála megmaradnak, Ön pedig már nem látja őket (a gyermek szülőjének nem minősülő gondozó hozzájárulása nem tartja meg őket). A hozzájárulás visszavonása előtt letöltheti adatai másolatát (§11). A gyermek 18. születésnapján az egészségügyi adatokat töröljük (§10).
• A hozzájárulások előzményei — a hozzájárulás visszavonása és a fiók törlése után is tároljuk, a lehető legkisebb terjedelemben, amely annak igazolásához szükséges, hogy a hozzájárulást megadták (a dátum és a dokumentum verziója; a GDPR 7. cikk (1) bekezdése) — annak az évnek a végétől számított 3 évig, amelyben a hozzájárulást visszavonták vagy a fiókot törölték.
• A GDPR szerinti jogokkal kapcsolatos levelezés (az Ön kérelme, például az adatok kiadására vagy törlésére, és a válaszunk) — annak az évnek a végétől számított 3 évig, amelyben az ügyet lezártuk, annak igazolására, hogy elintéztük. A kérelem ellenőrzése céljából beküldött személyazonosító okmányok és bírósági határozatok másolatát az ellenőrzés után haladéktalanul töröljük (a 3 évig megőrzött levelezésben kizárólag az elvégzett ellenőrzésről szóló feljegyzés marad meg). A weboldalon benyújtott fióktörlési kérelmekre külön, rövidebb határidő vonatkozik (lásd lent).
• Az üzenetekre vonatkozó bejelentések és az ezekkel kapcsolatos döntések — annak az évnek a végétől számított 3 évig, amelyben az ügyet lezártuk, akkor is, ha időközben törli a fiókját (ekkor már a fiókjához kapcsolás nélkül), annak bizonyítására, hogy a bejelentést a digitális szolgáltatásokról szóló rendelet (DSA) szerint bíráltuk el, valamint esetleges igények esetére (a GDPR 6. cikk (1) bekezdés c) és f) pontja). A bejelentés után elrejtett üzenet szövegét az üggyel együtt, vagy korábban az üzenettel együtt töröljük.
• Az alkalmazás verziója — a telefon rendszerenként egy bejegyzés, amelyet az alkalmazás minden megnyitása felülír. A fiókkal együtt töröljük.
• E-mail-címre adott ingyenes hozzáférés — ha ezzel a címmel még nincs fiók, a meghívó legfeljebb 90 napig vár, utána a címet töröljük. A fiók létrehozása után csak a fiókhoz kapcsolás marad meg; a megadott hozzáférésről szóló információt, a tesztelői jelölést és a csapat megjegyzését a fiók törléséig őrizzük meg.
• A visszajelzések és a kérdőívválaszok — a fiók fennállásának idejére; a fiókkal együtt töröljük őket, és az adatexport részét képezik. Kizárólag a ParentLoop csapata olvassa őket, a másik szülő nem látja. A visszajelzés e-mailben a csapat postafiókjába is megérkezik — ezt a másolatot az Ön kérésére töröljük.
• A bevezetés előtti tesztelés adatai — címét a Google Play és a TestFlight tesztelői listájáról a tesztelésben való részvétele végén, legkésőbb az adott áruházban történő bevezetés után 30 nappal eltávolítjuk. A Google Playről és a TestFlightról érkező észrevételeket és összeomlási jelentéseket, valamint a tesztelés utáni kérdőívre adott válaszokat a tesztelés végétől számított legfeljebb 12 hónapig őrizzük meg. Azt az e-mailt, amelyben elfogadja a Felhasználási feltételeket, a hozzájárulások előzményeivel azonos módon őrizzük meg.
• A gyermek hozzáférése a ParentLoop kids alkalmazáshoz — annak szülő általi visszavonásáig, a gyermek profiljának törléséig vagy a fiók törléséig.
• A születésnapi tervek (vendégek, ajándékok, lefoglalások) — a terv szülő általi törléséig, vagy a fiókkal együtt.
• A kulcsmásolat az azonosítókulcsban — annak a beállításokban való törléséig, a kulcs megváltoztatásáig vagy a fiók törléséig.
• A szülők közötti üzenetek — az elküldött üzenetet az alkalmazásban nem lehet szerkeszteni vagy törölni, mert a beszélgetés a gyermek ügyeiben született megállapodások közös nyilvántartása; bejelentés után a csapat legfeljebb elrejtheti a jogsértő üzenetet (§6). Az üzeneteket addig őrizzük meg, amíg a családban valakinek van fiókja, és akkor töröljük őket, amikor a családban az utolsó személy is törli a fiókját. Ha az egyik szülő törli a fiókját, az üzenetei a másik szülő beszélgetésében maradnak, a neve helyett „Törölt felhasználó” megjelöléssel és fiókhoz kapcsolás nélkül, amíg a másik szülő nem törli a saját fiókját, vagy amíg helyt nem adunk a tiltakozásnak (§11). A beszélgetés szüneteltetéséről és folytatásáról szóló bejegyzéseket ugyanúgy őrizzük meg, mint az üzeneteket.
• Értesítések az alkalmazásban — a kiküldéstől számított 180 napig, utána automatikusan töröljük őket. Ha valaki törli a fiókját, a neve eltűnik mások értesítéseiből; ha egy gyermek adatait töröljük, a gyermek neve is eltűnik belőlük.
• A weboldalról indított fióktörlési kérelem — az e-mail-cím a fiók törléséig vagy a kérelem visszavonásáig (nem visszaigazolt kérelem esetén: 30 nap). Ezután 90 napig csak a cím kivonata és a dátumok maradnak meg annak bizonyítékaként, hogy a kérelmet teljesítettük; ezt követően ezeket is töröljük.
• A gyermek adatai a 18. életév betöltése után — az egészségügyi adatokat és a PESEL-számot a tizennyolcadik születésnapon töröljük, a többi adatot 3 hónappal később (§10).
• Az adatbázis biztonsági mentései — naponta készülnek, és 7 napig őrizzük meg őket. A törölt adatok legkésőbb ennyi idő elteltével ezekből is eltűnnek; a mentésekhez kizárólag azért nyúlunk, hogy egy meghibásodás után helyreállítsuk az adatbázist.

10. Amikor a gyermek betölti a 18. életévét

A gyermek adatait a szülők által gyakorolt szülői felügyelettel vagy gondozással összefüggésben kezeljük (a GDPR 6. cikk (1) bekezdés f) pontja), az egészségügyi adatokat és a PESEL-számot pedig a szülő hozzájárulása alapján. A tizennyolcadik születésnap napján a szülői felügyelet megszűnik — ettől a pillanattól kezdve maga a nagykorú személy dönt a saját adatairól. Ezért az alkalmazás ekkortól nem fogad többé új adatot erről a személyről.

Az egészségügyi adatokat és a PESEL-számot a tizennyolcadik születésnapon töröljük (ha a szülők nem kapták meg az értesítést körülbelül 30 nappal a születésnap előtt, az értesítés után 4 héttel töröljük őket). Ezeket a szülő által a gyermek nevében adott hozzájárulás alapján kezeltük, és ez a jogalap a szülői felügyelettel együtt megszűnik. Körülbelül 30 nappal előtte az adatokhoz hozzáférő szülők értesítést kapnak, hogy időben letölthessenek egy másolatot (Beállítások → Adataim letöltése). A magasság- és testsúlymérések a többi adattal együtt megmaradnak.

A már elmentett egyéb adatok 3 hónapig továbbra is láthatók, exportálhatók és törölhetők maradnak (jogos érdekünk: a szülők nyugodtan letölthetik a közös nyilvántartást, a nagykorú személy pedig tiltakozhat ez ellen — a GDPR 6. cikk (1) bekezdés f) pontja) — valakit elzárni a saját adataitól épp az ellenkezője lenne annak, amiről a GDPR szól. 3 hónap elteltével töröljük őket; az alkalmazás megmutatja a szülőknek a pontos dátumot. Az a nagykorú személy, akinek az adatai a ParentLoopban vannak, ez idő alatt kérheti tőlünk azok kiadását vagy törlését. Ennek a személynek nincs fiókja az alkalmazásban, ezért a személyazonosságát közvetlenül vele ellenőrizzük: néhány adatot kérünk a korábbi profiljából (például a nevét, a születési dátumát és azt, hogy melyik szülőhöz kapcsolódott), és arra az e-mail-címre válaszolunk, amelyről írt. Személyazonosító okmányt csak akkor kérünk, ha megalapozott kétségünk van (a GDPR 12. cikk (6) bekezdése), a korábbi profiljához kapcsolódó szülőt pedig csak az ő hozzájárulásával vonjuk be. Ha okmányt kérünk, kérjük, takarja le rajta a fényképet, a PESEL-számot, valamint az okmány sorozatszámát és számát (elegendő a keresztnév, a vezetéknév, a születési dátum és az érvényességi idő), a beküldött másolatot pedig az ellenőrzés után azonnal töröljük. A dokumentumokat, valamint a végpontok között titkosított egészségügyi adatokat, magasság- és súlyméréseket és PESEL-számot (§5) nem tudjuk visszafejteni és másolatban kiadni — a teljes profillal együtt azonban törölni tudjuk őket. A titkosított adatok másolatát az exportot letöltő szülő adhatja át a nagykorú személynek.

Ha a szülő nem adta meg a gyermek születési dátumát, az alkalmazás nem tudja, mikor tölti be a gyermek a 18. életévét, ezért a nyilvántartás nem zárul le magától: az adatok addig megmaradnak, amíg a szülő nem törli őket. Ha a gyermek már nagykorú, a szülőnek magának kell törölnie a gyermek profilját (Beállítások → a gyermek profilja).

11. Az Ön jogai és azok gyakorlása

Önnek joga van: hozzáférni az adataihoz, kérni azok helyesbítését, törlését, az adatkezelés korlátozását, kérni az adatai hordozhatóságát, tiltakozni az adatkezelés ellen, valamint bármikor visszavonni a hozzájárulását — ami nem érinti a visszavonás előtti adatkezelés jogszerűségét.

Közvetlenül az alkalmazásban, a velünk való kapcsolatfelvétel nélkül:

• Az összes adatának letöltése (a GDPR 15. és 20. cikke) — Beállítások → Adataim letöltése. ZIP-fájlt kap; a gyermek dokumentumai abban az Ön telefonján vannak visszafejtve, ezért a letöltés előtt az alkalmazás Face ID-t, Touch ID-t vagy a képernyőzár kódját kéri. A képernyőzár kódja nélküli telefon nem tölti le az exportot — ilyenkor az adatok másolatát az Ön kérésére elküldjük, de a dokumentumok, valamint a végpontok között titkosított egészségügyi adatok, magasság- és súlymérések és PESEL-szám nélkül — azokat nem tudjuk visszafejteni.
• A fiók és az adatok törlése (a GDPR 17. cikke) — Beállítások → Adatok és fiók törlése. A törlés azonnal megtörténik.
• Az egészségügyi adatokra vonatkozó hozzájárulás és a marketing-hozzájárulások visszavonása — Beállítások → Hozzájárulások. Az egészségügyi adatokra vonatkozó hozzájárulás visszavonása azonnal törli a gyermek egészségügyi adatait, kivéve, ha a gyermek egészségügyi adataihoz hozzáférő másik szülőnek saját hozzájárulása van (§9); a visszavonás előtt letöltheti adatai másolatát. A gyermek PESEL-számát a gyermek beállításaiban törölheti.
• Az adatok javítása (a GDPR 16. cikke) — közvetlenül a gyermek profiljában és a fiókban. A gyermek nevét és születési dátumát bármelyik szülő önállóan javíthatja; a másik szülő az alkalmazásban értesítést kap a korábbi és az új értékről (a telefonra érkező push-értesítés a születési dátumot nem tartalmazza).

Fiók és adatok törlése az alkalmazás nélkül

A fiókot a parentloop.pl/fiok-torlese oldalon is törölheti: megadja a fiók e-mail-címét, és a levélben kapott linkkel visszaigazolja a törlést. A fiókot és az adatokat a visszaigazolás után 7 nappal töröljük, ugyanolyan mértékben, mint az alkalmazásban történő törléskor. Ez alatt az idő alatt a második levélben kapott linkkel visszavonhatja a törlést, az erre a fiókra bejelentkezett telefonokra pedig értesítést küldünk — ez védelem az olyan helyzet ellen, amikor valaki, aki hozzájutott az Ön postafiókjához, törli az Ön fiókját. Ha a megadott címen nincs fiók, semmit nem küldünk, az oldal pedig ugyanúgy válaszol — az űrlap nem fedi fel, kinek van fiókja.

Már nem fér hozzá a fiók e-mail-címéhez? Ha a telefonja még be van jelentkezve, törölje a fiókot az alkalmazásban (Beállítások → Adatok és fiók törlése) — ehhez nincs szükség e-mailre. Ellenkező esetben először próbálja meg visszaszerezni a hozzáférést a postafiókjához az e-mail-szolgáltatójánál. Ha ez nem sikerül, írjon a kontakt@parentloop.pl címre egy olyan címről, amelyhez hozzáfér. A profil adatait általában a másik szülő is ismeri, ezért mielőtt töröljük a fiókot, ellenőrizzük, hogy az Önhöz tartozik-e (a GDPR 12. cikk (6) bekezdése): a fiókkal kapcsolatos információkat kérünk, kivételes esetekben pedig (ha a profilban megadta a vezeték- és utónevét) kérhetjük a személyazonosító okmány másolatát a fénykép, a személyi azonosító szám (PESEL), a születési dátum és az okmányszám kitakarásával. Az okmány másolatát kizárólag erre az ellenőrzésre használjuk, és közvetlenül utána töröljük, a levelezésben pedig csak a személyazonosság igazolásáról szóló feljegyzést tartjuk meg. A fiókot ezután ugyanúgy töröljük, mint az űrlap esetében — 7 nap elteltével; a fiók eddigi címére és a bejelentkezett telefonokra értesítést küldünk a visszavonás lehetőségével (ez védi a fiókot, ha valaki más írt volna), és ez alatt az idő alatt Ön a levelünkre válaszolva is visszavonhatja a törlést.

A fióktörlés és a másik szülő

A gyermek profilja megosztott. Ha Ön törli a fiókját, a másik szülő pedig továbbra is használja a ParentLoopot, a gyermek adatai elérhetők maradnak a számára — ő önálló felhasználó, saját jogalappal az adatkezelésre. Az Ön fiókadatait, valamint azokat az adatokat töröljük, amelyeknél Ön az egyetlen kapcsolt szülő. Az alkalmazás a törlés előtt megmutatja, hogy pontosan mi fog eltűnni, és mi marad meg.

A másik szülő értesítést kap arról, hogy a fiókot törölték — az Ön neve nélkül. Az Ön által elküldött üzenetek megmaradnak az ő beszélgetésében, az Ön neve helyett „Törölt felhasználó” megjelöléssel és az Ön fiókjához való kapcsolás nélkül: ez egyben az ő levelezése is a gyermek ügyeiben, a törlésük pedig elvenné tőle a lehetőséget, hogy igazolja, miben állapodtak meg (a GDPR 6. cikk (1) bekezdés f) pontja és 17. cikk (3) bekezdés e) pontja). Ön tiltakozhat az összes vagy egyes üzenetek megőrzése ellen (a GDPR 21. cikk (1) bekezdése) a kontakt@parentloop.pl címre írva (ha a fiókot már törölték, kérjük, adja meg a gyermek utónevét, valamint az üzenetek hozzávetőleges dátumát és tartalmát, hogy megkereshessük őket). A tiltakozást indokolatlan késedelem nélkül, legfeljebb egy hónapon belül bíráljuk el, mérlegelve az Ön sajátos helyzetét, a másik szülő érdekét és a gyermek mindenek felett álló érdekét:

• Helyt adunk a tiltakozásnak, és az üzenetet (vagy annak érintett részét) a másik szülőnél is töröljük, ha megőrzése veszélyezteti az Ön biztonságát (például elárulja az Ön új lakcímét vagy munkahelyét, és Ön erőszakra, zaklatásra vagy távoltartásra hivatkozik), ha kizárólag Önre vagy harmadik személyekre vonatkozik, nem pedig a gyermek ügyeire, ha tévedésből küldték el, és nem alapult rajta megállapodás, vagy ha a másik szülő hozzájárul a törléséhez.
• Elutasítjuk a tiltakozást, ha az üzenet a gyermek ügyeiben született megállapodást dokumentál (gondozás, átadások, utazások, gyógykezelés, iskola, kiadások), folyamatban lévő vagy bejelentett eljárásban bizonyíték, a Felhasználási feltételek bejelentett megsértésére vonatkozik (például fenyegetés), vagy ha a törlése megváltoztatná a másik szülő válaszainak értelmét.

Bíróságok, hatóságok és a másik szülő megkeresései

• Az adatokat a bíróságoknak, az ügyészségnek, a rendőrségnek és más hatóságoknak csak akkor adjuk ki, ha azt jogszabály írja elő — a megkeresés jogalapjának ellenőrzése után, és kizárólag abban a körben, amelyre a megkeresés vonatkozik.
• Az egyik szülőnek nem adjuk át a másik szülő adatait azon túl, amit az alkalmazásban már lát. Ha bírósági eljáráshoz van szüksége anyagra, használja az adatexportot (Beállítások → Adataim letöltése).
• Az export és az alkalmazásból származó bejegyzések nem közokiratok. Nem garantáljuk, hogy a bíróság vagy a hatóság azokat meghatározott tartalom vagy dátum bizonyítékaként elfogadja.

Kapcsolat és panasz

Mindezekben az ügyekben írhat a kontakt@parentloop.pl címre is — indokolatlan késedelem nélkül, legkésőbb egy hónapon belül válaszolunk. Önnek joga van panaszt tenni a Személyes Adatok Védelmének Hivatala elnökénél (Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa) is.

12. Biztonság

• Az egyes gyermekek adataihoz való hozzáférést az adatbázis szintjén érvényesítjük, nem csupán az alkalmazásban — az a szülő, akinek nincs jogosultsága az adott gyermekhez, az alkalmazás kikerülésével sem olvassa ki annak adatait.
• Az alkalmazásból induló kapcsolatok titkosítottak (TLS), az adatbázisban és a fájlokban lévő adatok pedig nyugalmi állapotban titkosítva vannak.
• A gyermek dokumentumai, és — amint minden olyan személynek megvan a kulcsa, aki hozzáfér a gyermek egészségügyi adataihoz — az egészségügyi adatok is, ezen túl végpontok között is titkosítva vannak (§5).
• A fiók létrehozásakor és a jelszó megváltoztatásakor elutasítjuk azokat a jelszavakat, amelyek ismert incidensekben kiszivárogtak. Az ellenőrzést a szerverünk végzi: a Have I Been Pwned szolgáltatásnak csak a jelszó kivonatának rövid részletét küldi el, soha nem magát a jelszót vagy a telefonja IP-címét.
• Ha a fiók létrehozását követő első 24 óra után valaki bejelentkezik a szülői fiókjába, értesítést kap az alkalmazásban és — ha engedélyezte az értesítéseket — a telefonján is, az eszköz hozzávetőleges típusával (iPhone vagy iPad, Android telefon vagy táblagép, webböngésző vagy egyéb eszköz). A Beállítások → Adatvédelem és adatok → Bejelentkezett eszközök menüben látja az aktív munkameneteket (mióta van bejelentkezve a fiók, és mikor volt az eszköz utoljára aktív), és bármelyik eszközt kijelentkeztetheti; a hozzáférés legkésőbb egy órán belül megszűnik. A bejelentkeztető szolgáltatás a munkamenet idejére rögzíti az IP-címet és az alkalmazás vagy böngésző által küldött technikai információt (User-Agent), amelyből kizárólag az eszköz típusát olvassuk ki; az IP-címet sehol nem jelenítjük meg, és az adatexportba sem tesszük bele. Jogalap: szerződés teljesítése (GDPR 6. cikk (1) bekezdés b) pont — munkamenetek kezelése), valamint a mi és az Ön jogos érdeke (GDPR 6. cikk (1) bekezdés f) pont — a fiók biztonsága és a jogosulatlan hozzáférés elleni védelem; tárhely- és értesítési címzettek — 8. pont). A munkamenet eltűnik a listáról kijelentkeztetéskor, inaktivitás miatti automatikus lejáratkor vagy a fiók törlésével együtt, magát az alkalmazáson belüli értesítést pedig 180 napig őrizzük meg (9. pont).
• Az egészségügyi bejegyzések (vizitek, védőoltások, diagnózisok, vizsgálati eredmények, kórházi kezelések) előzményeit csak hozzáfűzhető módon tároljuk — a javítás új bejegyzést hoz létre, nem írja felül a korábbit.

13. A ParentLoop csapatának hozzáférése

A produkciós adatokhoz kizárólag a ParentLoop csapatának szűk, név szerint megjelölt köre fér hozzá, és kizárólag technikai üzemeltetés, felhasználói támogatás, valamint a visszaélési bejelentések elbírálása céljából — marketingcélból soha. A titkosított dokumentumokat, a PESEL-számot és a titkosított egészségügyi adatokat (§5) a csapat semmilyen módon nem tudja elolvasni.

14. Gyermekek és a ParentLoop kids

A ParentLoop alkalmazás kizárólag felnőttek — szülők és gondviselők — számára készült. A 7 és 16 év közötti gyermekek számára külön alkalmazás létezik, a ParentLoop kids:

• A gyermek hozzáférését a szülő hozza létre: a szülő alkalmazása egy egyszer használatos, 10 percig érvényes QR-kódot jelenít meg, amelyet a gyermek a ParentLoop kids alkalmazásban beolvas. A gyermek nem ad meg e-mail-címet, telefonszámot vagy jelszót. A szerződést velünk a szülő köti meg, nem a gyermek.
• A gyermek a következőket látja: melyik szülőnél van az adott napon, a naptári eseményeket a bepakolandó dolgok listájával együtt, az órarendet a teremmel és a tanárral, a szakköröket, a saját házimunkáit, valamint a saját zsebpénzét az utolsó 8 hétből (csak az összegeket) — az összegeket a szülő elrejtheti a gyermek elől. Az alkalmazás nem hasonlítja össze a gyermeket a testvéreivel.
• A gyermek nem látja a szülők közötti üzeneteket, a dokumentumokat, az egészségügyi adatokat, sem a kiadásokat és az elszámolásokat.
• A gyermek telefonjáról csak azt rögzítjük, ami a működéshez szükséges: az eszköz hozzárendelését a gyermek profiljához, a házimunkákat, amelyeket a gyermek kipipál, az eseményeket, amelyeket a gyermek maga vesz fel a naptárába, a push értesítési tokent, valamint a telefon nyelvét (hogy az értesítéseket a megfelelő nyelven küldjük). A gyermek PIN-kódot állíthat be a profiljához; ez kizárólag az eszközön marad, a szerverünkre nem kerül.
• A ParentLoop kids megjelenését a gyermek életkorához igazítjuk: a 16 évesnél fiatalabb gyermek az új, háttérképes megjelenést kapja, az idősebb gyermek, illetve az, akinek a születési dátumát nem ismerjük, a korábbit. Az életkort a gyermek telefonja számolja ki abból a születési dátumból, amelyet a szülő a gyermek profiljában megadott, és sehol nem tároljuk. A gyermek a Profilban módosíthatja a megjelenést; ez a választás csak az eszközön marad.
• A gyermek saját eseményt vehet fel a naptárába (például dolgozatot, edzést vagy meglepetést a szülőnek), és a „Megmutatom a szüleimnek” kapcsolóval maga döntheti el, hogy a szülei látják-e. Az eseményt a szerverünkön tároljuk. Ha a gyermek nem osztja meg, a szülők nem látják sem az alkalmazásukban, sem az adatexportban. Töröljük, amikor a gyermek törli, vagy a gyermek profiljával, illetve a fiókkal együtt.
• A gyermek adataihoz jogosult minden szülő bármikor visszavonhatja a gyermek hozzáférését — azonnali hatállyal. Ha az egyik szülő létrehozza a gyermek hozzáférését, a másik erről értesítést kap.

15. A weboldal: sütik és várólista

Ez az oldal nem használ sütiket marketing- vagy analitikai célból. A mobilalkalmazás nem tartalmaz semmilyen külső követő vagy hirdetési eszközt.

Amíg az alkalmazás nem elérhető az áruházakban, az oldalon fel lehet iratkozni a várólistára. Ez más cél, mint az alkalmazás használata, ezért külön írjuk le:

• Mit gyűjtünk: e-mail-cím, az oldal nyelve, az az információ, hogy a feliratkozás melyik űrlapról származik, a feliratkozás dátuma, a visszaigazolás dátuma, valamint az űrlap tartalmának az a verziója, amelyet Ön elfogadott. Ezen túl semmit — nem kérdezünk keresztnevet, sem bármilyen gyermekadatot.
• Mire: hogy egyetlen üzenetet küldjünk az alkalmazás megjelenésének napján. Nem adunk ki hírlevelet, és a címet nem adjuk át senkinek.
• Jogalap: az Ön hozzájárulása (a GDPR 6. cikk (1) bekezdés a) pontja). Az űrlap elküldése után egy e-mailt kap egy linkkel; a hozzájárulást azzal adja meg, hogy a link által megnyitott oldalon a „Megerősítés” gombra kattint. A link 7 napig működik. Visszaigazolás nélkül ezen a linken kívül semmit nem küldünk Önnek — így senki nem iratkozhat fel a listára más címével.
• Mennyi ideig: a nem visszaigazolt feliratkozást 30 nap után töröljük. A visszaigazoltat — a megjelenésről szóló értesítés elküldése után, ha pedig a megjelenés késik, legkésőbb a feliratkozástól számított 24 hónap elteltével.
• A hozzájárulás visszavonása: bármikor, egyetlen e-maillel a 17. pontban megadott címre. Ekkor töröljük a címet a listáról, és nem küldünk többé semmit.
• Hová kerülnek az adatok: az űrlapot a Cloudflare üzemelteti (a weboldal hosztingja), a címet a Supabase adatbázisában tároljuk az Európai Unióban — ott, ahol az alkalmazás adatait —, a linket tartalmazó e-mailt pedig a Brevo küldi (8. pont).

A várólistára való feliratkozás nem hoz létre fiókot az alkalmazásban, és semmilyen módon nem kapcsolódik a fiókhoz, ha Ön azt később létrehozza.

16. A szabályzat módosítása

Ezt a szabályzatot akkor frissítjük, amikor megváltozik, hogy mit teszünk az adatokkal. A fiókjához rendelt címen legalább 14 nappal a módosítás hatálybalépése előtt e-mailben tájékoztatjuk Önt, ha a már összegyűjtött adatokat új célra vagy új módon kezdjük használni, ha új szolgáltatót vonunk be, vagy ha megváltozik az adatkezelő. Az új, önkéntes funkciót — amelyet nem kötelező használnia, és amely nem változtat azon, hogy mi történik a már elmentett adatokkal — a bevezetése napján írjuk le a szabályzatban, és az alkalmazásban is tájékoztatjuk róla; a dátumot és a verziószámot az oldal tetején találja. Ha a módosítás új hozzájárulást igényel, azt külön kérjük majd — az alkalmazás további használata nem helyettesíti a hozzájárulást. Rögzítjük, hogy Ön a szabályzat melyik verzióját fogadta el.

17. Kapcsolat

A jelen szabályzattal kapcsolatos ügyekben: kontakt@parentloop.pl. Postai levelezési cím: ParentLoop sp. z o.o., ul. Grójecka 210, 02-390 Warszawa, Lengyelország.

Політика конфіденційності ParentLoop

Останнє оновлення: 1 листопада 2026 · версія 4.22

1. Хто відповідає за ваші дані

Адміністратором персональних даних, які обробляються в застосунках ParentLoop і ParentLoop kids та на сайті parentloop.pl, є ParentLoop sp. z o.o. (польське товариство з обмеженою відповідальністю) з місцезнаходженням: ul. Grójecka 210, 02-390 Warszawa, Польща, внесене до реєстру підприємців Національного судового реєстру Польщі (Krajowy Rejestr Sądowy), який веде Sąd Rejonowy dla m.st. Warszawy w Warszawie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego (Районний суд міста Варшави у Варшаві, XII господарський відділ KRS), під номером KRS 0001272931, NIP 7011335937, REGON 545952514, статутний капітал 5 000,00 zł.

Контакт у справах захисту даних: kontakt@parentloop.pl. Ми не призначали інспектора з захисту даних — за нинішнього обсягу обробки він не потрібен; ми повернемося до цієї оцінки, коли обсяг зросте.

2. Коротко

Цей підсумок не замінює тексту нижче — обов’язковою є повна політика.

3. Які дані ми обробляємо, навіщо і на якій підставі

Ми не збираємо даних про місцезнаходження пристрою, не здійснюємо профілювання чи автоматизованого ухвалення рішень, що мають правові наслідки, не використовуємо рекламних інструментів чи аналітики, яка відстежує користувачів між застосунками. Ми не надсилаємо ваших даних і даних дітей до зовнішніх сервісів штучного інтелекту (наприклад, чат-ботів чи моделей ШІ, що працюють у хмарі) і не використовуємо їх для навчання ШІ; текст із фото та вставлену адресу ми зчитуємо на телефоні (§7).

Тестування до запуску. Якщо ви тестуєте застосунок до запуску, ми також обробляємо: адресу електронної пошти вашого акаунта Google або Apple у списку тестувальників у Google Play або TestFlight, листування із запрошенням і підтвердженням прийняття Умов користування, відгуки, надіслані через Google Play, TestFlight або електронною поштою (із TestFlight також додані знімки екрана, звіти про збої, модель телефона і версію системи), а також ваші відповіді в опитуванні після тестування. Ми робимо це, щоб надати вам тестову версію (ст. 6(1)(b) GDPR) і покращити застосунок на основі ваших відгуків (наш законний інтерес, ст. 6(1)(f) GDPR; ви можете заперечити, §11). Участь у тестуванні, відгуки й опитування добровільні. Не надсилайте у відгуках знімків екрана з даними про здоров’я чи номером PESEL. Те, що ви вводите в застосунку, залишається у вашому акаунті й після запуску, як у кожного користувача.

Зчитування версії застосунку з телефона не потребує вашої згоди, бо воно необхідне для надання послуги, якою ви користуєтеся (ст. 399 польського закону «Право електронних комунікацій» — Prawo komunikacji elektronicznej): без нього ми не знаємо, чи дійшло до вас виправлення помилки. При цьому ми не зберігаємо ідентифікатора пристрою, IP-адреси чи інформації про те, якими функціями застосунку ви користуєтеся, і не зберігаємо історії — кожне відкриття застосунку перезаписує попередній запис.

Які дані обов’язкові. Щоб створити акаунт, нам потрібні ваше ім’я та адреса e-mail (і пароль, якщо ви не входите за посиланням з e-mail), а щоб додати дитину — її ім’я. Додаючи дитину, ви також заявляєте, що маєте батьківські права, здійснюєте опіку над нею або допомагаєте піклуватися про неї на запрошення одного з батьків; без цієї заяви ви не додасте дитину. Надання даних є добровільним і не вимагається жодним законом, але без наведених вище даних ми не можемо укласти договір і ви не зможете створити акаунт. Усе інше (напр. дату народження, фото, номер PESEL, дані про здоров’я, документи, записи, відгуки) ви вказуєте, якщо хочете; якщо чогось не вкажете, не працюватиме лише функція, якій це потрібно, — напр. без дати народження застосунок не підкаже домашніх обов’язків відповідно до віку.

4. Дані, які ви не надали нам самі

ParentLoop за своєю природою працює так, що один з батьків уводить дані про дитину, а інколи й дані другого з батьків (напр. дні, коли дитина перебуває в нього, передачі дитини та витрати, що його стосуються). Це означає, що ми можемо обробляти дані людини, яка сама нам їх не передавала.

• Джерело даних: другий з батьків або опікун, який користується ParentLoop.
• Обсяг: категорії, перелічені в §3.
• Гості на дні народження: якщо батьки введуть імена гостей, запрошених на день народження дитини, ми зберігаємо лише ім’я — без прізвища і контактів. Їх бачать лише батьки цієї дитини, а видаляємо ми їх разом із планом дня народження або з акаунтом. Ми не знаємо цих дітей і їхніх батьків, а з’ясування, хто вони, означало б збирання додаткових даних, тому ми не інформуємо їх безпосередньо (ст. 14(5)(b) GDPR).
• Учителі: якщо батьки введуть розклад уроків або зчитають його з фото, біля уроку ми зберігаємо вчителя так, як його вказано, — без контактних даних. Його бачать батьки цієї дитини і сама дитина в ParentLoop kids, а видаляємо ми його разом із розкладом уроків або з акаунтом. Ми не маємо контактів учителів, а їх пошук означав би збирання додаткових даних, тому ми не інформуємо їх безпосередньо (ст. 14(5)(b) GDPR).
• Інші люди, яких вписують батьки: лікар дитини (у даних про здоров’я) або людина, вказана в події, наприклад тренер. Ми зберігаємо лише те, що вказали батьки. Підставою є наш законний інтерес: батьки можуть організувати догляд і мати цю інформацію під рукою в нагальній ситуації (ст. 6(1)(f) GDPR). Ми не інформуємо цих людей безпосередньо (ст. 14(5)(b) GDPR): у нас немає їхніх контактних даних і жодних стосунків із ними, а пошук контакту чи лист лікарю або тренеру означав би збирання додаткових даних і розкрив би їм, що родина користується застосунком і як піклується про дитину. Їх бачать лише батьки дитини, а записи в календарі — також дитина в ParentLoop kids; ми видаляємо їх разом із записом або акаунтом.
• Запрошений з батьків після приєднання бачить ті самі дані дитини і може їх виправляти, доповнювати й користуватися всіма правами, описаними в §11.
• Як про це дізнається другий з батьків: запрошення ви надсилаєте самі — зі своєї пошти або месенджера; ми не отримуємо ні адреси електронної пошти, ні номера телефону другого з батьків. Коли другий з батьків приєднається, він ознайомиться з цією політикою під час створення акаунта. Поки він не приєднався, ми не маємо як із ним зв’язатися, тому не інформуємо його безпосередньо (ст. 14(5)(b) GDPR); ця політика доступна публічно, а текст запрошення, який застосунок готує для надсилання, містить посилання на неї.
• Як ми захищаємо права цих людей: замість безпосереднього інформування ми публікуємо цю політику на parentloop.pl/privacy, введені дані бачить лише родина дитини, ми нічого цим людям не надсилаємо, не профілюємо їх і не використовуємо їхні дані для маркетингу, а видаляємо їх разом із записом або акаунтом. Кожна з цих людей може заперечити проти обробки або попросити видалити свої дані, написавши на адресу з §17.
• Той з батьків, хто вводить дані дитини, заявляє, що має на це право, — зазвичай воно випливає з батьківських прав. ParentLoop не перевіряє і не вирішує спорів щодо батьківських прав чи обсягу опіки.

5. Документи і дані про здоров’я — наскрізне шифрування

Документи дитини (напр. рішення суду, мирові угоди, плани виховання) шифруються на пристрої батьків, ще до того, як залишать телефон. Шифрується як вміст файлу, так і його назва. Приватні ключі не залишають пристроїв батьків. Вид документа (напр. паспорт) і термін його дії не шифруються — завдяки цьому застосунок нагадує про закінчення терміну дії і порівнює його з датами поїздки.

Дані про здоров’я дитини ми шифруємо так само, окремо для кожної дитини. Ключ до даних про здоров’я створюється автоматично на телефоні того з батьків, хто має до них доступ, дав згоду на обробку даних про здоров’я і має на телефоні ключ до документів (шифрування можна також увімкнути вручну в Налаштуваннях); передання ключа другому з батьків або опікунові потребує одного підтвердження (порівняння відбитка ключа). Шифрування починає діяти, коли ключ мають усі особи з доступом до даних про здоров’я цієї дитини — батьки, а також опікун, якщо йому надано таке повноваження. Тоді алергії, ліки, хронічні хвороби, група крові, нотатки, записи (візити, щеплення, діагнози, результати аналізів, перебування в лікарні), а також вимірювання зросту і ваги шифруються на телефоні, перш ніж потрапити на наш сервер; на сервері ми й далі бачимо, що запис існує, його дату і те, хто його додав. Доки ключ не отримають усі особи з доступом до даних про здоров’я цієї дитини, ці дані зберігаються як раніше — захищено, але не наскрізно, — а застосунок показує, на кого він чекає.

Номер PESEL дитини, якщо ви його введете, завжди шифрується на телефоні — окремо для кожного з батьків, його ключем до документів, — перш ніж потрапити на наш сервер. Ми не можемо його прочитати. На сервері ми бачимо лише те, що номер збережено і для яких батьків. Щоб зберегти номер, потрібен ключ до документів.

На практиці це означає, що ні ми, ні постачальник хостингу не можемо прочитати цих даних — навіть якби ми хотіли і навіть якби хтось отримав доступ до бази даних. Наслідок такого рішення: якщо ви втратите доступ до всіх своїх пристроїв і не збережете ключ, ми не зможемо відновити ці документи чи зашифровані дані про здоров’я, вимірювання зросту й ваги та номер PESEL.

Копія ключа в ключі доступу (passkey). Ключ можна зберегти, створивши ключ доступу в «Паролях» Apple або в Менеджері паролів Google. Тоді ми зберігаємо зашифровану копію вашого ключа, яку може відкрити лише цей ключ доступу, — ми не можемо. Копію ви видалите в налаштуваннях ключа до документів; вона також зникає, коли ви змінюєте ключ, і разом з акаунтом. Кожен, хто знає пароль до вашого акаунта Apple або Google і код одного з ваших пристроїв, може скористатися цим ключем доступу.

Де записувати інформацію про здоров’я. Наскрізне шифрування і згода на дані про здоров’я стосуються розділу здоров’я і документів про здоров’я. У витратах, повідомленнях і календарі пишіть лише те, що потрібно для організації (наприклад, «візит до лікаря», «аптека»), а подробиці про здоров’я дитини зберігайте в розділі здоров’я.

6. Повідомлення між батьками

Тут ми хочемо бути цілком чесними: повідомлення не шифруються наскрізно. Вони зберігаються на нашому сервері у вигляді, який дає змогу їх прочитати. Це випливає з двох функцій, які ми вважаємо важливішими для безпеки родин, ніж повне шифрування:

• Фільтр лайливих слів — зміст повідомлення автоматично перевіряється перед збереженням, а виявлені лайливі слова маскуються. Це автоматична обробка тексту без участі людини.
• Скарги на зловживання і призупинення розмови — кожен з батьків може поскаржитися на повідомлення. Повідомлення, на яке надійшла скарга, може прочитати призначена людина з команди ParentLoop, щоб розглянути скаргу. Крім цього випадку, ніхто з команди не читає листування батьків. Кожна сторона розмови може також її призупинити: доки той, хто її призупинив, її не відновить, ніхто в цій розмові не надішле нового повідомлення. Ми записуємо, хто і коли призупинив і відновив розмову; обидві сторони бачать це в розмові та в її експорті, а інша сторона отримує сповіщення. Після скарги ми можемо також приховати незаконне повідомлення для обох сторін (у розмові залишиться позначка, що його приховав ParentLoop, а його текст ми збережемо як доказ на випадок оскарження або для правоохоронних органів) або призупинити розмову; таку розмову можемо відновити лише ми.

Якщо після скарги ми обмежимо ваш акаунт, ви отримаєте від нас обґрунтування рішення і зможете його оскаржити — правила описують Умови користування.

Якщо ви хочете передати другому з батьків вміст, який не хочете довіряти серверу, скористайтеся зашифрованими документами (§5).

7. Розпізнавання тексту з фото: чеки і розклад уроків

Зчитування сум і дат із чеків відбувається локально на пристрої. Фото чека та зчитаний із нього текст не надсилаються до жодного зовнішнього сервісу розпізнавання тексту. На наш сервер потрапляє лише фото, збережене разом із витратою, і зчитані дані, якщо ви їх підтвердите. На телефонах із системою Android для зчитування тексту на пристрої ми використовуємо бібліотеку Google ML Kit, яка надсилає до Google діагностичні дані про пристрій і роботу зчитування (без фото та без зчитаного тексту — §8).

Розклад уроків теж можна зчитати з фото. Текст ми зчитуємо на телефоні, а копію фото в застосунку видаляємо одразу після зчитування — ні фото, ні зчитаний текст не потрапляють ані на наш сервер, ані до жодного зовнішнього сервісу (на Android бібліотека Google ML Kit надсилає до Google виключно діагностичні дані — §8). Ми зберігаємо лише уроки, які ви підтвердите.

Вставлення адреси з повідомлення або нотатки в подію зчитує адресу на телефоні й нікуди її не надсилає. На iPhone це робить система телефону. На Android ми використовуємо для цього бібліотеку Google ML Kit, але лише якщо ви погодилися на неї під час зчитування чека або розкладу (згоду можна відкликати в Налаштування → Згоди); під час першого використання вона завантажує з Google мовну модель і надсилає Google лише діагностичні дані, ніколи вставлений текст (§8). Без цієї згоди ми вставляємо адресу так, як ви її скопіювали.

8. Кому ми доручаємо обробку даних

Дані в застосунку бачать лише батьки й опікуни, пов’язані з профілем конкретної дитини. Ми користуємося послугами постачальників, які обробляють дані лише за нашим дорученням, на підставі договорів доручення обробки:

База даних і файли зберігаються в Європейському Союзі. Передавання даних за межі ЄЕЗ (постачальникам сповіщень і оновлень) відбувається на підставі рішення Європейської комісії про належний рівень захисту (EU–US Data Privacy Framework — для сертифікованих у ній суб’єктів) та стандартних договірних положень Європейської комісії.

Підказки адрес надходять від Google Maps Platform (Places API). Коли ви вводите адресу події, телефон надсилає введений текст безпосередньо Google LLC (США), який при цьому бачить IP-адресу телефона. Google обробляє ці дані як окремий адміністратор, за власними правилами (умови захисту даних Google Maps для адміністраторів і політика конфіденційності Google), а не за нашим дорученням, — тому його немає в таблиці вище. До Google потрапляє лише те, що ви введете в поле адреси, без даних акаунта та імені дитини. Зчитування тексту з фото на Android: під час зчитування тексту з фото чека або розкладу уроків (§7) бібліотека Google ML Kit зберігає на телефоні власний ідентифікатор інсталяції, а також зчитує й надсилає до Google LLC (США) діагностичні дані про пристрій і роботу зчитування: виробника, модель телефона і версію системи, доступні апаратні прискорювачі, назву і версію застосунку, ідентифікатор інсталяції бібліотеки, час виконання, формат і роздільну здатність зображення, розмір вхідних і вихідних даних, версію функції, тип події та коди помилок (під час з’єднання Google також бачить IP-адресу телефона) — але ніколи саме фото чи зчитаний із нього текст. Google обробляє ці дані як окремий адміністратор з метою діагностики й аналітики використання бібліотеки ML Kit відповідно до умов використання сервісів Google APIs / ML Kit і політики конфіденційності Google. Передавання даних до США ґрунтується на рішенні Європейської комісії щодо програми EU–US Data Privacy Framework (якщо Google LLC має в ній активну сертифікацію) або на стандартних договірних положеннях.

Календар у телефоні. Якщо в Налаштуваннях ви ввімкнете підписку на календар, ми створимо приватне посилання, яке ви додаєте до обраного вами календаря (напр. Календар Apple та iCloud, Google Календар, Outlook). Цей сервіс кожні кілька годин завантажує з нашого сервера дані, описані в §3, і зберігає їх за власними правилами — як окремий адміністратор, якого обираєте ви, а не за нашим дорученням, — тому його немає в таблиці вище. Деякі такі сервіси обробляють дані за межами ЄЕЗ, напр. у США. Посилання діє як пароль: кожен, хто його має, бачить ті самі дані, тож не діліться ним. Будь-коли ви можете вимкнути його або створити нове — старе одразу перестане діяти. У календарі є також дні опіки та події, додані іншим з батьків, які ви бачите в застосунку; інший з батьків бачить у застосунку, що у вас увімкнена підписка.

Те саме стосується Android, коли ви вставляєте адресу в подію (§7), якщо ви погодилися на ML Kit: вставлений текст ніколи не залишає телефон.

Коли ми запустимо платежі, підписки обслуговуватимуть лише Apple (App Store) або Google (Google Play) — як окремі адміністратори платіжних даних, за власними правилами. Ми не бачимо номера вашої картки; ми отримуємо лише інформацію, що підписка активна, і її ідентифікатор. Стан підписки для нас перевірятиме RevenueCat (RevenueCat, Inc., США) як обробник, на підставі рішення Європейської комісії щодо програми EU–US Data Privacy Framework (якщо він має в ній активну сертифікацію) або стандартних договірних положень: він отримає випадковий ідентифікатор родини — без імен і адреси e-mail, — дані покупки, передані магазином, а також основні технічні дані телефона (система, версія застосунку, країна магазину). Перш ніж запустити платежі, ми повідомимо про це листом (§16).

Тестування в Google Play і TestFlight. Тестову версію застосунку, її оновлення, а також відгуки і звіти про збої, надіслані через Google Play або застосунок TestFlight, обслуговує Google (Google Ireland Limited і Google LLC, США) або Apple (Apple Distribution International Ltd. і Apple Inc., США) як окремі контролери, за правилами програм тестування Google Play і TestFlight. Вони надають нам у своїх консолях дані про перебіг тестування і ваші відгуки (§3). Передавання даних до США відбувається на підставі рішення Європейської комісії щодо EU–US Data Privacy Framework або стандартних договірних положень.

План дня, який ви надсилаєте самі. Якщо діти живуть в одному домі, ви можете надіслати план дня людині без акаунта, наприклад бабусі чи няні: дату, імена дітей, події дня з часом і місцем, коли закінчуються уроки або садочок, та ім’я того, хто забирає дитину. Ви надсилаєте його самі — застосунком і людині, яких оберете. ParentLoop при цьому нічого не надсилає і не зберігає, кому ви передали план. Після надсилання ця копія перебуває поза ParentLoop: ми не можемо її виправити чи видалити.

9. Як довго ми зберігаємо дані

• Дані акаунта і дані дитини — доки ви користуєтеся застосунком. Ми видаляємо їх, коли ви видалите акаунт (§11).
• Посилання на календар (§8) — діє, доки ви його не вимкнете або не створите нове, і втрачає чинність разом із видаленням акаунта. Окремої копії календаря ми не зберігаємо — дані складаємо під час кожного завантаження. Події, які ваш календар уже завантажив, можуть у ньому залишитися, доки ви не видалите підписку зі свого календаря.
• Окремі записи (витрата, подія, документ, вимірювання) — доки їх не видалить хтось із батьків у застосунку.
• Медичні записи (візити, щеплення, діагнози, результати аналізів, госпіталізації) зберігаються лише з додаванням: виправлення створює новий запис, а окремий запис у застосунку видалити не можна. Ми видаляємо їх разом з акаунтом або на ваш запит електронною поштою. Коли ви відкликаєте згоду на дані про здоров’я, ми одразу видаляємо всі дані про здоров’я дитини, включно з документами про здоров’я, якщо другий з батьків із доступом до даних про здоров’я дитини не надав власної згоди, — тоді вони залишаються для нього, а ви їх більше не бачите (згода опікуна, який не є батьком чи матір’ю дитини, їх не зберігає). Перед відкликанням згоди ви можете завантажити копію даних (§11). У день 18-річчя дитини ми видаляємо дані про здоров’я (§10).
• Історія згод — зберігається і після відкликання згоди, і після видалення акаунта, в мінімальному обсязі, потрібному, щоб підтвердити, що згоду було надано (дата і версія документа; ст. 7(1) GDPR), — протягом 3 років від кінця року, в якому згоду відкликали або акаунт видалили.
• Листування щодо прав за GDPR (ваш запит, наприклад про видачу чи видалення даних, і наша відповідь) — протягом 3 років від кінця року, в якому ми закрили справу, як доказ, що ми її розглянули. Копії документів, що посвідчують особу, та копії судових рішень, надіслані для перевірки звернення, ми видаляємо невідкладно після їх перевірки (у листуванні, яке зберігається протягом 3 років, залишається лише відмітка про проведену перевірку). Для запитів на видалення акаунта через сайт діє окремий, коротший строк (нижче).
• Скарги на повідомлення і рішення щодо них — 3 роки від кінця року, в якому ми закрили справу, навіть якщо тим часом ви видалите акаунт (тоді вже без зв’язку з ним), як доказ того, що ми розглянули скаргу відповідно до Акта про цифрові послуги (DSA), і на випадок претензій (ст. 6(1)(c) і (f) GDPR). Текст повідомлення, прихованого після скарги, ми видаляємо разом зі справою або раніше разом із повідомленням.
• Версія застосунку — один запис на систему телефона, що перезаписується під час кожного відкриття застосунку. Ми видаляємо його разом з акаунтом.
• Безкоштовний доступ, наданий на адресу електронної пошти — якщо акаунта з цією адресою ще немає, запрошення чекає щонайдовше 90 днів, після чого ми видаляємо адресу. Після створення акаунта залишається лише зв’язок з акаунтом; інформацію про наданий доступ, позначку тестувальника й нотатку команди ми зберігаємо до видалення акаунта.
• Відгуки і відповіді в опитуванні — доки існує акаунт; ми видаляємо їх разом з акаунтом, і вони входять до експорту даних. Їх читає лише команда ParentLoop, другий з батьків їх не бачить. Відгук також надходить листом на скриньку команди — цю копію ми видалимо на ваше прохання.
• Дані з тестування до запуску — вашу адресу зі списку тестувальників у Google Play і TestFlight ми видаляємо після завершення вашої участі в тестуванні, не пізніше ніж через 30 днів після запуску у відповідному магазині. Відгуки і звіти про збої з Google Play і TestFlight та відповіді в опитуванні після тестування ми зберігаємо до 12 місяців після завершення тестування. Лист, яким ви приймаєте Умови користування, ми зберігаємо так само, як історію згод.
• Доступ дитини до ParentLoop kids — доки його не відкличе хтось із батьків, доки не буде видалено профіль дитини або акаунт.
• Плани днів народження (гості, подарунки, бронювання) — доки план не видалить хтось із батьків, або разом з акаунтом.
• Копія ключа в ключі доступу — доки ви не видалите її в налаштуваннях, не зміните ключ або не видалите акаунт.
• Повідомлення між батьками — надіслане повідомлення неможливо відредагувати чи видалити в застосунку, бо розмова є спільним записом домовленостей у справах дитини; після скарги команда може лише приховати незаконне повідомлення (§6). Ми зберігаємо повідомлення, доки в родині є хтось з акаунтом, і видаляємо їх, коли акаунт видаляє остання людина в родині. Коли акаунт видаляє один із батьків, його повідомлення залишаються в розмові другого з батьків із позначкою «Видалений користувач» замість імені та без зв’язку з акаунтом, доки другий з батьків не видалить свій акаунт або доки ми не задовольнимо заперечення (§11). Записи про призупинення й відновлення розмови ми зберігаємо так само, як повідомлення.
• Сповіщення в застосунку — 180 днів від надсилання, після чого ми видаляємо їх автоматично. Коли хтось видаляє свій акаунт, його ім’я зникає зі сповіщень інших людей; коли ми видаляємо дані дитини, з них зникає ім’я дитини.
• Запит на видалення акаунта через сайт — адреса e-mail зберігається до видалення акаунта або скасування запиту (непідтверджений запит: 30 днів). Потім протягом 90 днів залишаються лише хеш адреси і дати — як доказ, що ми виконали запит; після цього ми видаляємо і їх.
• Дані дитини після досягнення 18 років — дані про здоров’я і номер PESEL ми видаляємо в день вісімнадцятиріччя, решту даних — через 3 місяці (§10).
• Резервні копії бази даних — ми створюємо їх щодня і зберігаємо 7 днів. Видалені дані зникають із них щонайпізніше після цього строку; до копій ми звертаємося лише для того, щоб відновити базу після збою.

10. Коли дитині виповнюється 18 років

Дані дитини ми обробляємо у зв’язку зі здійсненням батьками батьківських прав або опіки (ст. 6(1)(f) GDPR), а дані про здоров’я і номер PESEL — на підставі згоди батьків. У день вісімнадцятого дня народження батьківські права припиняються — відтоді повнолітня людина сама вирішує щодо власних даних. Тому застосунок перестає тоді приймати нові дані про цю людину.

Дані про здоров’я і номер PESEL ми видаляємо в день вісімнадцятиріччя (якщо батьки не отримали попередження приблизно за 30 днів до дня народження, ми видаляємо їх через 4 тижні після попередження). Ми обробляли їх на підставі згоди одного з батьків, наданої від імені дитини, а ця підстава припиняється разом із батьківськими правами. Приблизно за 30 днів батьки з доступом до цих даних отримують сповіщення, щоб устигнути завантажити копію (Налаштування → Завантажити мої дані). Вимірювання зросту і ваги залишаються разом з рештою даних.

Інші вже збережені дані залишаються протягом 3 місяців видимими, доступними для експорту та видалення (наш законний інтерес: батьки можуть спокійно завантажити спільний запис, а повнолітня людина може заперечити проти цього — ст. 6(1)(f) GDPR) — заблокувати комусь доступ до власних даних було б протилежністю того, для чого існує GDPR. Через 3 місяці ми їх видаляємо; застосунок показує батькам точну дату. Повнолітня людина, чиї дані зберігаються в ParentLoop, може протягом цього часу звернутися до нас щодо їх видачі чи видалення. Така людина не має акаунта в застосунку, тому її особу ми підтверджуємо безпосередньо з нею: просимо кілька відомостей з її колишнього профілю (наприклад, ім’я, дату народження і те, з ким із батьків він був пов’язаний) і відповідаємо на адресу e-mail, з якої вона написала. Документ, що посвідчує особу, ми попросимо лише тоді, коли маємо обґрунтовані сумніви (ст. 12(6) GDPR), а того з батьків, хто був пов’язаний з її колишнім профілем, залучаємо лише за її згодою. У разі прохання надати документ ми просимо закрити на ньому фотографію, номер PESEL, а також серію та номер документа (достатньо імені, прізвища, дати народження і строку дії), а надіслану копію видаляємо одразу після перевірки. Документи та зашифровані наскрізно (end-to-end) дані про здоров’я, вимірювання зросту й ваги та номер PESEL (§5) ми не можемо розшифрувати чи видати в копії — проте можемо видалити їх разом з усім профілем. Копію зашифрованих даних повнолітній людині може передати той із батьків, хто завантажить експорт.

Якщо батьки не вказали дату народження дитини, застосунок не знає, коли дитині виповниться 18 років, тому запис не закривається сам: дані залишаються, доки їх не видалять батьки. Коли дитина вже повнолітня, батьки мають видалити її профіль самі (Налаштування → профіль дитини).

11. Ваші права і як ними скористатися

Ви маєте право на доступ до даних, їх виправлення, видалення, обмеження обробки, перенесення даних, заперечення проти обробки, а також на відкликання згоди будь-коли — що не впливає на законність обробки до відкликання.

Безпосередньо в застосунку, без звернення до нас:

• Завантаження всіх своїх даних (ст. 15 і 20 GDPR) — Налаштування → Завантажити мої дані. Ви отримуєте файл ZIP; документи дитини в ньому розшифровані на вашому телефоні, тому перед завантаженням застосунок просить Face ID, Touch ID або код блокування. Телефон без встановленого коду блокування не завантажить експорт — у такому разі ми надішлемо копію даних на ваш запит, але без документів і тих даних про здоров’я, вимірювань зросту й ваги та номера PESEL, які зашифровані наскрізно (end-to-end) — їх ми розшифрувати не можемо.
• Видалення акаунта і даних (ст. 17 GDPR) — Налаштування → Видалення даних і акаунта. Видалення відбувається одразу.
• Відкликання згоди на дані про здоров’я та маркетингових згод — Налаштування → Згоди. Відкликання згоди на дані про здоров’я одразу видаляє дані про здоров’я дитини, якщо другий з батьків із доступом до даних про здоров’я дитини не має власної згоди (§9); перед відкликанням ви можете завантажити копію даних. Номер PESEL дитини можна видалити в налаштуваннях дитини.
• Виправлення даних (ст. 16 GDPR) — безпосередньо в профілі дитини й акаунті. Ім’я і дату народження дитини кожен з батьків виправляє сам; другий з батьків отримує в застосунку сповіщення з попереднім і новим значенням (push-сповіщення на телефон не містить дати народження).

Видалення акаунта і даних без застосунку

Акаунт також можна видалити на сторінці parentloop.pl/vydalyty-akaunt: ви вказуєте адресу e-mail акаунта і підтверджуєте видалення посиланням із листа. Акаунт і дані ми видаляємо через 7 днів після підтвердження, в такому ж обсязі, як і під час видалення в застосунку. Протягом цього часу ви можете скасувати видалення посиланням із другого листа, а на телефони, де виконано вхід у цей акаунт, ми надсилаємо сповіщення — це захист від ситуації, коли хтось, хто отримав доступ до вашої пошти, видаляє ваш акаунт. Якщо за вказаною адресою немає акаунта, ми нічого не надсилаємо, а сторінка відповідає так само — форма не розкриває, хто має акаунт.

Більше не маєте доступу до адреси e-mail акаунта? Якщо на вашому телефоні досі виконано вхід, видаліть акаунт у застосунку (Налаштування → Видалення даних і акаунта) — e-mail для цього не потрібен. Інакше спершу спробуйте відновити доступ до скриньки у свого поштового провайдера. Якщо це не вдасться, напишіть на kontakt@parentloop.pl з адреси, до якої маєте доступ. Дані з профілю зазвичай знає і другий з батьків, тому перш ніж видалити акаунт, ми перевіримо, що він належить вам (ст. 12(6) GDPR): попросимо інформацію, пов'язану з акаунтом, а у виняткових випадках (якщо в профілі вказано ім'я та прізвище) можемо попросити копію документа, що посвідчує особу, із закритими фотографією, номером PESEL (або РНОКПП), датою народження та серією і номером документа. Копію документа ми використовуємо лише для цієї перевірки і видаляємо одразу після неї, залишаючи в листуванні тільки відмітку про підтвердження особи. Потім ми видаляємо акаунт так само, як через форму — через 7 днів; на поточну адресу акаунта і на телефони, де виконано вхід, ми надсилаємо сповіщення з можливістю скасувати видалення (це захищає акаунт, якщо нам написав хтось інший), а ви протягом цього часу можете скасувати видалення також у відповіді на наш лист.

Видалення акаунта і другий з батьків

Профіль дитини спільний. Якщо ви видалите свій акаунт, а другий з батьків і далі користується ParentLoop, дані дитини залишаться доступними для нього — він окремий користувач із власною підставою для обробки. Видаляються дані вашого акаунта і ті дані, для яких ви — єдиний пов’язаний з ними з батьків. Перед видаленням застосунок показує, що саме зникне, а що залишиться.

Другий з батьків отримує сповіщення, що акаунт видалено, — без вашого імені. Надіслані вами повідомлення залишаються в його розмові з позначкою «Видалений користувач» замість вашого імені та без зв’язку з вашим акаунтом: це також його листування у справах дитини, і їх видалення позбавило б його змоги довести, що було домовлено (ст. 6(1)(f) та ст. 17(3)(e) GDPR). Ви можете заперечити проти збереження всіх або вибраних повідомлень (ст. 21(1) GDPR), написавши на kontakt@parentloop.pl (якщо акаунт уже видалено, вкажіть, будь ласка, ім’я дитини та приблизну дату і зміст повідомлень, щоб ми могли їх знайти). Ми розглянемо заперечення без невиправданої затримки, щонайпізніше протягом місяця, зваживши вашу конкретну ситуацію, інтерес другого з батьків і найкращі інтереси дитини:

• Ми задовольняємо заперечення і видаляємо повідомлення (або його відповідну частину) також у другого з батьків, якщо його збереження загрожує вашій безпеці (наприклад, розкриває вашу нову адресу чи місце роботи, а ви вказуєте на насильство, переслідування або заборону наближатися), якщо воно стосується лише вас або третіх осіб, а не справ дитини, якщо його надіслано помилково і на ньому не ґрунтується жодна домовленість, або якщо другий з батьків погоджується на його видалення.
• Ми відхиляємо заперечення, якщо повідомлення документує домовленості у справах дитини (опіка, передавання дитини, поїздки, лікування, школа, витрати), є доказом у поточному чи оголошеному провадженні, стосується повідомленого порушення Умов користування (наприклад, погроз) або якщо його видалення змінило б зміст відповідей другого з батьків.

Запити судів, органів влади і другого з батьків

• Ми надаємо дані судам, прокуратурі, поліції та іншим органам лише тоді, коли цього вимагає закон — після перевірки підстави запиту і лише в обсязі, якого він стосується.
• Ми не передаємо одному з батьків даних другого понад те, що він уже бачить у застосунку. Якщо вам потрібні матеріали для судової справи, скористайтеся експортом даних (Налаштування → Завантажити мої дані).
• Експорт і записи із застосунку не є офіційними документами. Ми не гарантуємо, що суд чи орган визнає їх доказом певного змісту або дати.

Контакт і скарга

З будь-якого з цих питань ви також можете написати на kontakt@parentloop.pl — ми відповідаємо без зайвої затримки, щонайпізніше протягом місяця. Ви також маєте право подати скаргу до Голови Управління захисту персональних даних Польщі (Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa).

12. Безпека

• Доступ до даних кожної дитини забезпечується на рівні бази даних, а не лише в застосунку — той з батьків, хто не має права на дані конкретної дитини, не прочитає їх навіть в обхід застосунку.
• З’єднання із застосунку шифруються (TLS), а дані в базі і у файлах шифруються під час зберігання.
• Документи дитини, а щойно всі особи з доступом до даних про здоров’я дитини мають ключ — також дані про здоров’я, додатково шифруються наскрізно (§5).
• Під час створення акаунта і зміни пароля ми відхиляємо паролі, що витекли у відомих інцидентах. Перевірку виконує наш сервер: сервісу Have I Been Pwned він надсилає лише короткий фрагмент хешу пароля, ніколи не сам пароль і не IP-адресу вашого телефона.
• Коли після першої доби від створення акаунта хтось входить у ваш батьківський акаунт, ви отримуєте сповіщення в застосунку та — якщо у вас увімкнено сповіщення — на телефон, із приблизним типом пристрою (iPhone або iPad, телефон або планшет з Android, вебоглядач чи інший пристрій). У Налаштуваннях → Приватність і дані → Пристрої, на яких виконано вхід, ви бачите активні сесії (відколи виконано вхід в акаунт і коли пристрій був востаннє активний) і можете вийти з будь-якого пристрою; доступ припиняється щонайпізніше за годину. Служба входу зберігає на час сесії IP-адресу та технічну інформацію, яку надсилає застосунок або вебоглядач (User-Agent), з якої ми зчитуємо лише тип пристрою; IP-адресу ми ніде не показуємо й не додаємо до експорту даних. Підстава: виконання договору (ст. 6 ч. 1 п. b GDPR — обслуговування сесій) та наш і ваш законний інтерес (ст. 6 ч. 1 п. f GDPR — безпека акаунта й захист від несанкціонованого доступу; одержувачі для хостингу та сповіщень — §8). Сесія зникає зі списку після виходу, після автоматичного завершення через неактивність або разом із видаленням акаунта, а саме сповіщення в застосунку ми зберігаємо протягом 180 днів (§9).
• Історія медичних записів (візити, щеплення, діагнози, результати аналізів, госпіталізації) зберігається в режимі «лише додавання» — виправлення створює новий запис, а не перезаписує попередній.

13. Доступ команди ParentLoop

Доступ до робочих даних має лише вузьке коло поіменно визначених людей з команди ParentLoop, лише для технічного обслуговування, підтримки користувачів і розгляду скарг на зловживання — ніколи з маркетинговою метою. Зашифрованих документів, номера PESEL і зашифрованих даних про здоров’я (§5) команда не може прочитати за жодних умов.

14. Діти і ParentLoop kids

Застосунок ParentLoop призначений лише для дорослих — батьків і опікунів. Для дітей віком від 7 до 16 років є окремий застосунок, ParentLoop kids:

• Доступ дитині налаштовує хтось із батьків: застосунок батьків показує одноразовий QR-код, чинний 10 хвилин, який дитина сканує в ParentLoop kids. Дитина не вказує адреси e-mail, номера телефону чи пароля. Договір з нами укладає хтось із батьків, а не дитина.
• Дитина бачить: у кого з батьків вона перебуває в конкретний день, події з календаря разом зі списком речей, які треба спакувати, розклад уроків із кабінетом і вчителем, а також гуртки, свої домашні обов’язки і свої кишенькові за останні 8 тижнів (лише суми) — суми батьки можуть приховати від дитини. Застосунок не порівнює дитину з братами чи сестрами.
• Дитина не бачить повідомлень між батьками, документів, даних про здоров’я, а також витрат і розрахунків.
• З телефона дитини ми зберігаємо лише те, що потрібно для роботи: прив’язку пристрою до профілю дитини, обов’язки, які дитина відмітить, події, які вона сама додасть до календаря, токен push-сповіщень і мову телефона (щоб надсилати сповіщення потрібною мовою). Дитина може встановити на своєму профілі PIN-код; він залишається лише на пристрої і не потрапляє на наш сервер.
• Вигляд ParentLoop kids ми добираємо відповідно до віку дитини: дитина, молодша за 16 років, отримує новий вигляд зі шпалерами, а старша або та, чиєї дати народження ми не знаємо, — попередній. Вік обчислюється на телефоні дитини з дати народження, яку батьки вказали в профілі дитини, і ніде не зберігається. Дитина може змінити вигляд у «Профілі»; цей вибір залишається лише на пристрої.
• Дитина може додати до свого календаря власну подію (наприклад, контрольну, тренування чи сюрприз для когось із батьків) і сама вирішити перемикачем «Показати батькам», чи побачать її батьки. Подію ми зберігаємо на нашому сервері. Якщо дитина нею не поділиться, батьки не бачать її ні у своєму застосунку, ні в експорті даних. Ми видаляємо її, коли дитина її видалить, або разом із профілем дитини чи акаунтом.
• Кожен з батьків, який має право на дані дитини, може будь-коли відкликати доступ дитини — з негайним ефектом. Коли хтось із батьків налаштовує дитині доступ, другий отримує про це сповіщення.

15. Сайт: файли cookie і список очікування

Цей сайт не використовує файлів cookie з маркетинговою чи аналітичною метою. Мобільний застосунок не містить жодних зовнішніх інструментів стеження чи реклами.

Доки застосунку немає в магазинах, на сайті можна записатися до списку очікування. Це інша мета, ніж користування застосунком, тому ми описуємо її окремо:

• Що ми збираємо: адресу e-mail, мову сторінки, інформацію про те, з якої форми надійшов запис, дату запису, дату підтвердження і версію тексту форми, яку ви прийняли. Нічого більше — ми не питаємо імені чи будь-яких даних дитини.
• Навіщо: щоб надіслати один лист у день запуску застосунку. Ми не ведемо розсилки і нікому не передаємо адресу.
• Правова підстава: ваша згода (ст. 6(1)(a) GDPR). Після надсилання форми ви отримуєте один лист із посиланням; згоду ви висловлюєте, натиснувши «Підтвердити» на сторінці, до якої воно веде. Посилання діє 7 днів. Без підтвердження ми не надішлемо вам нічого, крім цього посилання, — завдяки цьому ніхто не запише до списку чужу адресу.
• Як довго: непідтверджений запис ми видаляємо через 30 днів. Підтверджений — після надсилання повідомлення про запуск, а якщо запуск затримається, — не пізніше ніж через 24 місяці від запису.
• Відкликання згоди: будь-коли, одним листом на адресу з пункту 17. Тоді ми видаляємо адресу зі списку і більше нічого не надсилаємо.
• Куди потрапляють дані: форму обслуговує Cloudflare (хостинг сайту), адресу ми зберігаємо в базі Supabase в Європейському Союзі — там само, де дані застосунку, — а лист із посиланням надсилає Brevo (пункт 8).

Запис до списку очікування не створює акаунта в застосунку і ніяк не пов’язаний з акаунтом, якщо ви створите його пізніше.

16. Зміни політики

Ми оновлюємо цю політику, коли змінюється те, що ми робимо з даними. Листом на адресу, прив’язану до акаунта, щонайменше за 14 днів до набрання зміною чинності, ми повідомимо вас, коли почнемо використовувати вже зібрані дані з новою метою або в новий спосіб, коли додамо нового постачальника або коли зміниться адміністратор даних. Нову добровільну функцію — якою ви не мусите користуватися і яка не змінює того, що відбувається з уже збереженими даними, — ми описуємо в політиці в день її запуску і повідомляємо про неї в застосунку; дату і номер версії ви знайдете вгорі цієї сторінки. Якщо зміна потребує нової згоди, ми попросимо про неї окремо — подальше користування застосунком не замінює згоди. Ми зберігаємо, яку версію політики ви прийняли.

17. Контакт

З питань, що стосуються цієї політики: kontakt@parentloop.pl. Адреса для листування: ParentLoop sp. z o.o., ul. Grójecka 210, 02-390 Warszawa, Польща.