Polityka prywatności aplikacji Agro Notes

1. Kto odpowiada za Twoje dane

Administratorem danych osobowych związanych z aplikacją mobilną Agro Notes (dalej: „Aplikacja”) jest Krzysztof Kołecki, ul. Oskara Kolberga 18C/31, 81-881 Sopot, Polska, NIP 5862270852, REGON 389974516. We wszystkich sprawach dotyczących danych osobowych skontaktuj się z nami: kontakt@agronotes.pl, tel. +48 609 776 400.

Nie wyznaczyliśmy inspektora ochrony danych. W aktualnym modelu działalności nie zachodzą przesłanki obowiązkowego wyznaczenia inspektora określone w art. 37 RODO. Zgłoszenia trafiają bezpośrednio do administratora.

Niniejszy dokument dotyczy wyłącznie Aplikacji. Przetwarzanie danych przez stronę internetową agronotes.pl opisuje osobna polityka prywatności strony.

2. Dwie role: administrator i podmiot przetwarzający

Aplikacja pozwala właścicielowi gospodarstwa zapraszać współpracowników, przypisywać ich do zabiegów i wymieniać w notatkach. Dlatego nasza rola nie jest jednolita:

• Jesteśmy administratorem danych Twojego konta i danych technicznych: adresu e-mail, hasła w postaci skrótu, nazwy wyświetlanej, identyfikatora konta, tokenu powiadomień oraz logów bezpieczeństwa.
• Jesteśmy podmiotem przetwarzającym w odniesieniu do danych osobowych, które ktoś wprowadza do Aplikacji w ramach gospodarstwa — w szczególności adresów e-mail zapraszanych osób, przypisań do zabiegów i zadań oraz wzmianek o osobach w treści notatek. Administratorem tych danych jest Właściciel gospodarstwa albo podmiot, w imieniu którego Właściciel korzysta z Aplikacji i który ustala cele oraz sposoby ich przetwarzania. My przetwarzamy je na polecenie tego administratora, na podstawie Umowy powierzenia.

Jeśli prowadzisz gospodarstwo samodzielnie i nie wprowadzasz danych innych osób, w praktyce występujemy wobec Ciebie wyłącznie jako administrator.

3. Jakie dane przetwarzamy

Dane konta

• Adres e-mail oraz hasło przechowywane wyłącznie w postaci skrótu kryptograficznego.
• Nazwa wyświetlana widoczna dla członków Twoich gospodarstw.
• Identyfikator konta i data jego utworzenia.
• Przy logowaniu kontem Google — adres e-mail i identyfikator konta Google przekazane przez Google.

Dane gospodarstwa i pól

• Nazwa gospodarstwa, lista członków i ich role.
• Zaproszenia do współpracy wraz z adresem e-mail osoby zapraszanej.
• Nazwy pól, uprawy, opisy, powierzchnia, kody upraw, granice pól w postaci współrzędnych geograficznych oraz numery działek ewidencyjnych.

Treści, które tworzysz

• Notatki: treść, typ, data, autor i osoba edytująca, przypisane osoby, termin i status zadania.
• Zdjęcia dołączone do notatek.
• Ewidencja zabiegów: nazwa środka, numer zezwolenia, data i godzina, dawka, powierzchnia, sposób i miejsce zastosowania, uprawa, faza rozwojowa, przyczyna zabiegu, warunki pogodowe, uwagi oraz osoby przypisane i wykonujące zabieg.

Dane techniczne

• Token powiadomień push i rodzaj platformy urządzenia.
• Logi techniczne i logi bezpieczeństwa po stronie dostawcy infrastruktury, obejmujące adres IP oraz czas zapytania.

Czego nie przetwarzamy

• Nie zapisujemy historii Twojej lokalizacji. Współrzędne urządzenia są używane w czasie rzeczywistym do wyśrodkowania mapy i pobrania pogody, po czym są odrzucane.
• Nie stosujemy reklam, śledzenia międzyaplikacyjnego ani profilowania marketingowego.
• Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne.

4. Cele i podstawy prawne

• Założenie i prowadzenie konta, świadczenie Usługi, synchronizacja danych między urządzeniami i członkami gospodarstwa — art. 6 ust. 1 lit. b RODO (wykonanie umowy).
• Powiadomienia dotyczące współpracy — zaproszenia, przypisanie do zabiegu lub zadania, wzmianka w notatce — art. 6 ust. 1 lit. b RODO (wykonanie umowy).
• Zapewnienie bezpieczeństwa, wykrywanie nadużyć, diagnostyka awarii — art. 6 ust. 1 lit. f RODO (nasz prawnie uzasadniony interes w utrzymaniu bezpiecznej i sprawnej usługi).
• Rozpatrywanie reklamacji, ustalenie i dochodzenie roszczeń lub obrona przed nimi — art. 6 ust. 1 lit. f RODO.
• Wypełnianie obowiązków prawnych ciążących na administratorze — art. 6 ust. 1 lit. c RODO.

Podanie adresu e-mail i hasła jest niezbędne do założenia konta — bez nich nie możemy świadczyć Usługi. Pozostałe dane podajesz dobrowolnie, w zakresie, w jakim chcesz korzystać z poszczególnych funkcji.

5. Uprawnienia urządzenia

Aplikacja prosi o uprawnienia dopiero wtedy, gdy uruchamiasz funkcję, która ich wymaga. Każdego z nich możesz odmówić lub cofnąć je w ustawieniach systemu — ograniczy to jedynie daną funkcję.

• Lokalizacja — wyśrodkowanie mapy na Twojej pozycji i pobranie warunków pogodowych, gdy pole nie ma jeszcze narysowanej granicy. Współrzędne nie są zapisywane na serwerze.
• Aparat i galeria zdjęć — dołączanie zdjęć do notatek. Dostęp obejmuje wyłącznie zdjęcia, które sam wybierzesz lub wykonasz.
• Powiadomienia — informowanie o zaproszeniach do gospodarstwa i o przypisaniu Cię do zabiegu, zadania lub notatki.

6. Komu powierzamy dane

Korzystamy z zewnętrznych dostawców, którzy przetwarzają dane wyłącznie na nasze udokumentowane polecenie i na podstawie zawartych z nimi umów powierzenia. Aktualna lista:

• Supabase (Supabase, Inc. (USA) — infrastruktura w UE) — Baza danych, uwierzytelnianie, przechowywanie zdjęć, funkcje serwerowe, synchronizacja. Zakres danych: Wszystkie dane konta i treści gospodarstwa, w tym zdjęcia notatek. Miejsce przetwarzania: Unia Europejska (Frankfurt, Niemcy).
• Resend (Resend, Inc. (USA)) — Wysyłka wiadomości e-mail z zaproszeniem do współpracy w gospodarstwie. Zakres danych: Adres e-mail odbiorcy, imię lub nazwa zapraszającego, nazwa gospodarstwa. Miejsce przetwarzania: Stany Zjednoczone.
• Expo Push (650 Industries, Inc. (USA)) — Dostarczanie powiadomień push do urządzenia. Zakres danych: Token powiadomień urządzenia, treść powiadomienia (np. nazwa gospodarstwa lub pola). Miejsce przetwarzania: Stany Zjednoczone.
• Google Firebase Cloud Messaging (Google Ireland Limited) — Techniczne dostarczenie powiadomień push na urządzenia z Androidem. Zakres danych: Token powiadomień urządzenia, treść powiadomienia. Miejsce przetwarzania: Unia Europejska i Stany Zjednoczone.
• Apple Push Notification service (Apple Distribution International Ltd. (Irlandia)) — Techniczne dostarczenie powiadomień push na urządzenia z systemem iOS. Zakres danych: Token powiadomień urządzenia, treść powiadomienia. Miejsce przetwarzania: Unia Europejska i Stany Zjednoczone.
• Google (logowanie kontem Google) (Google Ireland Limited) — Opcjonalne logowanie i rejestracja kontem Google. Zakres danych: Adres e-mail i identyfikator konta Google — wyłącznie gdy wybierzesz tę metodę logowania. Miejsce przetwarzania: Unia Europejska i Stany Zjednoczone.

Dane mogą zostać udostępnione również organom publicznym, jeżeli obowiązek taki wynika z przepisów prawa, oraz doradcom prawnym w zakresie niezbędnym do dochodzenia lub obrony roszczeń.

7. Serwisy, które odpytuje bezpośrednio Twoje urządzenie

Niektóre funkcje wymagają połączenia z serwisami zewnętrznymi. To Twoje urządzenie wysyła do nich zapytanie — nie pośredniczymy w nim i nie przekazujemy im Twoich danych konta. Serwisy te widzą adres IP urządzenia i zakres zapytania, a same decydują o zasadach swojego logowania:

• OpenFreeMap / OpenMapTiles (dane OpenStreetMap) — Podkład mapy w trybie „Mapa” oraz etykiety miejscowości i ulic. Co trafia do serwisu: Adres IP urządzenia i współrzędne widocznego fragmentu mapy.
• Geoportal — Główny Urząd Geodezji i Kartografii — Ortofotomapa w trybie „Satelita” oraz granice i numery działek ewidencyjnych. Co trafia do serwisu: Adres IP urządzenia i współrzędne widocznego fragmentu mapy.
• Agencja Restrukturyzacji i Modernizacji Rolnictwa — Publiczna warstwa deklarowanych upraw (GSA) pomocna przy rysowaniu granic pola. Co trafia do serwisu: Adres IP urządzenia i współrzędne widocznego fragmentu mapy.
• Open-Meteo — Podpowiedź warunków pogodowych przy uzupełnianiu zabiegu. Co trafia do serwisu: Adres IP urządzenia, współrzędne pola lub urządzenia oraz data i godzina zabiegu — tylko gdy sam uruchomisz tę funkcję.

Jeśli nie chcesz wysyłać zapytań do serwisu pogodowego, po prostu nie korzystaj z funkcji podpowiedzi pogody i uzupełnij warunki ręcznie.

8. Przekazywanie danych poza Europejski Obszar Gospodarczy

Podstawowa infrastruktura Aplikacji — baza danych, konta i zdjęcia — działa w regionie: Unia Europejska (Frankfurt, Niemcy).

Część dostawców ma siedzibę poza Europejskim Obszarem Gospodarczym. W takich przypadkach przekazanie odbywa się na jednej z podstaw przewidzianych w rozdziale V RODO:

• Supabase — Standardowe klauzule umowne w zakresie ewentualnego dostępu wsparcia technicznego spoza EOG.
• Resend — Standardowe klauzule umowne.
• Expo Push — Standardowe klauzule umowne.
• Google Firebase Cloud Messaging — Decyzja o adekwatności — EU–US Data Privacy Framework.
• Apple Push Notification service — Standardowe klauzule umowne.
• Google (logowanie kontem Google) — Decyzja o adekwatności — EU–US Data Privacy Framework.

Kopię zastosowanych zabezpieczeń możesz uzyskać, pisząc na adres kontaktowy.

9. Jak długo przechowujemy dane

• Dane konta i treści gospodarstwa — przez czas trwania umowy, to jest do usunięcia konta.
• Po usunięciu konta — dane znikają natychmiast i nieodwracalnie. Obecnie nie utrzymujemy kopii zapasowych bazy danych, więc nie istnieje egzemplarz, z którego można byłoby je odtworzyć.
• Token powiadomień — do wylogowania urządzenia lub usunięcia konta.
• Logi techniczne — nie dłużej niż 12 miesięcy.
• Dane niezbędne do obrony przed roszczeniami — do upływu terminu przedawnienia roszczeń wynikających z umowy.
• Korespondencja — przez czas potrzebny do jej obsługi i przez okres, w którym możemy być zobowiązani wykazać sposób załatwienia sprawy.

Zwróć uwagę na jeden wyjątek: notatki i wpisy ewidencji, które dodałeś w cudzym gospodarstwie, pozostają u jego właściciela. Usuwamy z nich powiązanie z Twoim kontem — po usunięciu konta nie da się już ustalić z Aplikacji, kto je napisał — ale sama treść zostaje u administratora tego gospodarstwa, który potrzebuje jej do prowadzenia wymaganej prawem ewidencji zabiegów. Szczegóły opisuje strona usuwania konta.

Obecnie nie utrzymujemy kopii zapasowych bazy danych. Oznacza to, że usunięcie jest natychmiastowe i ostateczne, ale też że utrata danych po naszej stronie byłaby nieodwracalna — dlatego zalecamy regularny eksport ewidencji do pliku PDF lub CSV. Jeżeli w przyszłości wprowadzimy kopie zapasowe bazy danych, zaktualizujemy dokumenty prawne i wskażemy okres ich przechowywania.

10. Twoje prawa

W związku z przetwarzaniem danych przysługuje Ci prawo do:

• dostępu do danych i uzyskania ich kopii,
• sprostowania danych nieprawidłowych lub uzupełnienia niekompletnych,
• usunięcia danych,
• ograniczenia przetwarzania,
• przenoszenia danych przetwarzanych na podstawie umowy — w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego,
• wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, z przyczyn związanych z Twoją szczególną sytuacją,
• cofnięcia zgody w każdej chwili, jeżeli przetwarzanie odbywa się na jej podstawie — bez wpływu na zgodność z prawem przetwarzania dokonanego przed cofnięciem.

Żądanie wystarczy przesłać na kontakt@agronotes.pl albo zgłosić telefonicznie. Odpowiadamy bez zbędnej zwłoki, najpóźniej w terminie jednego miesiąca. Jeżeli żądanie jest skomplikowane albo wpłynie ich więcej, możemy przedłużyć ten termin o kolejne dwa miesiące — wtedy poinformujemy Cię o przyczynie opóźnienia. Część uprawnień zrealizujesz samodzielnie: dane konta zmienisz w Ustawieniach, ewidencję i notatki wyeksportujesz do plików PDF lub CSV, a konto usuniesz jednym przyciskiem.

Jeżeli uznasz, że przetwarzamy dane niezgodnie z prawem, możesz wnieść skargę do organu nadzorczego: Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

Gdy występujemy jedynie jako podmiot przetwarzający — czyli wobec danych wprowadzonych do Aplikacji w ramach gospodarstwa — swoje żądanie skieruj do administratora tego gospodarstwa (Właściciela albo podmiotu, w imieniu którego korzysta on z Aplikacji). Jeśli trafi do nas, przekażemy je temu administratorowi i pomożemy mu je obsłużyć.

11. Dane innych osób, które wprowadzasz do Aplikacji

Zapraszając współpracownika, przypisując kogoś do zabiegu albo wymieniając osobę w notatce, wprowadzasz do Aplikacji jej dane osobowe. W zakresie danych osobowych osób trzecich wprowadzanych do Gospodarstwa administratorem jest Właściciel albo podmiot, w imieniu którego Właściciel korzysta z Aplikacji i który ustala cele i sposoby przetwarzania tych danych. Jeżeli to nie Ty — oświadczasz, że działasz w imieniu tego administratora. Oznacza to, że:

• administrator musi mieć podstawę prawną, by je przetwarzać,
• administrator musi poinformować tę osobę o przetwarzaniu — również o tym, że korzysta z Agro Notes jako narzędzia,
• to do administratora ta osoba kieruje żądania dostępu, sprostowania czy usunięcia danych.

Nasze obowiązki wobec Ciebie w tym zakresie opisuje Umowa powierzenia. Pomożemy Ci obsłużyć takie żądanie i powiadomimy Cię o każdym naruszeniu ochrony danych.

Jeżeli otrzymałeś od nas zaproszenie do gospodarstwa i nie wiesz, dlaczego Twój adres e-mail znalazł się w Aplikacji — skontaktuj się z osobą, która wysłała zaproszenie. Jej dane wskazuje treść wiadomości. Możesz też napisać do nas, a przekażemy sprawę dalej.

12. Dane przechowywane na Twoim urządzeniu

Aplikacja działa również bez internetu, więc utrzymuje lokalną kopię danych Twojego gospodarstwa. Na urządzeniu zapisujemy:

• lokalną bazę danych z polami, notatkami, zabiegami i kolejką zmian do wysłania,
• zdjęcia notatek do czasu ich przesłania oraz ich kopie robocze,
• token sesji potrzebny do utrzymania zalogowania,
• ustawienia widoku i preferencje map,
• pobrane fragmenty mapy do pracy bez zasięgu — zawierają wyłącznie dane kartograficzne, bez Twoich treści.

Wylogowanie usuwa lokalną kopię danych i sesję. Odinstalowanie Aplikacji usuwa wszystkie dane zapisane na urządzeniu, ale nie usuwa konta ani danych na serwerze.

13. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności: szyfrowanie transmisji, szyfrowanie danych w spoczynku po stronie dostawcy infrastruktury, rozdzielenie dostępu na poziomie bazy danych tak, aby użytkownik widział wyłącznie dane swoich gospodarstw, prywatny magazyn zdjęć bez publicznych adresów, uwierzytelnianie dwuskładnikowe kont administracyjnych oraz zasadę minimalnych uprawnień. Obecnie nie utrzymujemy kopii zapasowych bazy danych. Jeżeli w przyszłości wprowadzimy kopie zapasowe bazy danych, zaktualizujemy dokumenty prawne i wskażemy okres ich przechowywania.

W razie naruszenia ochrony danych, które może powodować wysokie ryzyko dla Twoich praw, zawiadomimy Cię bez zbędnej zwłoki i wskażemy zalecane działania.

14. Dzieci

Aplikacja jest przeznaczona dla użytkowników prowadzących gospodarstwo i nie jest skierowana do dzieci. Nie zbieramy daty urodzenia i nie weryfikujemy wieku przy rejestracji. Jeżeli dowiemy się, że konto zostało założone przez dziecko, usuniemy je.

15. Zmiany polityki

O istotnych zmianach poinformujemy pocztą elektroniczną lub w Aplikacji z wyprzedzeniem. Każda wersja ma numer i datę wejścia w życie widoczne na górze tej strony; poprzednie wersje udostępniamy na żądanie.