Polityka prywatności

1. Administrator danych osobowych

Administratorem danych osobowych przetwarzanych w związku z korzystaniem z aplikacji BlackWire PRO (dalej: „Aplikacja” lub „Usługa”) jest:

• Firma: [Pełna nazwa firmy / imię i nazwisko, jeśli JDG]
• Adres siedziby: [ul. ..., kod, miejscowość, kraj]
• NIP: [NIP] · REGON: [REGON] · KRS / CEIDG: [numer wpisu]
• E-mail (RODO): [email protected]
• E-mail (kontakt ogólny): [email protected]

2. Inspektor Ochrony Danych (IOD)

[WYBIERZ JEDNĄ Z OPCJI — usunąć drugą]

Opcja A — IOD wyznaczony: Administrator wyznaczył Inspektora Ochrony Danych, z którym można się kontaktować we wszystkich sprawach dotyczących przetwarzania danych osobowych oraz korzystania z praw związanych z przetwarzaniem: [Imię i Nazwisko IOD, e-mail].

Opcja B — IOD niewyznaczony: Administrator nie wyznaczył Inspektora Ochrony Danych, ponieważ nie zachodzą przesłanki z art. 37 ust. 1 RODO. W sprawach związanych z przetwarzaniem danych osobowych prosimy o kontakt pod adresem [email protected].

3. Zakres przetwarzanych danych

W zależności od używanych funkcji aplikacji możemy przetwarzać następujące kategorie danych:

3.1. Dane konta

• identyfikator użytkownika (UID przyznawany przez Firebase Authentication);
• adres e-mail (jeśli rejestracja przez e-mail);
• numer telefonu (jeśli rejestracja przez SMS);
• nazwa wyświetlana, zdjęcie profilowe (opcjonalnie, podawane przez użytkownika);
• klucz publiczny tożsamości użytkownika (do celów E2EE);
• token uwierzytelniający (JWT — generowany lokalnie, nieprzechowywany na serwerze w postaci jawnej).

3.2. Dane techniczne i metadane

• model urządzenia, wersja systemu operacyjnego, wersja aplikacji;
• tokeny powiadomień push (APNs / FCM);
• adres IP w trakcie komunikacji z serwerem (logi serwera, ograniczony okres retencji);
• identyfikatory rozmów (chat ID), znaczniki czasu wiadomości (timestamp), informacje o dostarczeniu/odczycie (jeśli funkcja włączona);
• identyfikator urządzenia w usłudze Cloudflare Calls (na potrzeby zestawienia połączeń audio/wideo).

3.3. Treść wiadomości i połączeń

• Wiadomości tekstowe i pliki w trybie E2EE: szyfrowane na urządzeniu nadawcy (Curve25519 + AES-256-GCM, opcjonalnie hybryda post-quantum ML-KEM oraz Forward Secrecy — Double Ratchet). Serwer przechowuje wyłącznie zaszyfrowane ładunki — nie ma dostępu do treści jawnej.
• Połączenia audio/wideo (Cloudflare Calls): szyfrowane DTLS-SRTP, dodatkowo weryfikacja tożsamości peerów oparta na podpisach Ed25519. Treść połączeń nie jest nagrywana ani transkrybowana.

3.4. Dane subskrypcji PRO

• identyfikator transakcji w sklepie (Apple App Store / Google Play);
• status subskrypcji (aktywna / wygasła), data wygaśnięcia;
• Administrator nie przechowuje pełnych danych płatniczych — są one obsługiwane wyłącznie przez Apple / Google jako operatorów płatności.

3.5. Dane diagnostyczne (Crashlytics, jeśli włączone)

• raporty awarii (stack trace, model urządzenia, wersja systemu);
• identyfikator instalacji aplikacji (nie powiązany trwale z kontem).

4. Cele przetwarzania i podstawy prawne

Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) obejmuje w szczególności: bezpieczeństwo usługi, ochronę przed nadużyciami (spam, phishing, próby przejęcia kont), zapewnienie integralności infrastruktury oraz ustalenie/dochodzenie roszczeń.

5. Odbiorcy danych — podmioty przetwarzające

W celu świadczenia usługi Administrator korzysta z następujących podmiotów przetwarzających dane na zlecenie Administratora (sub-procesorów), na podstawie odrębnych umów powierzenia przetwarzania (art. 28 RODO):

Każdy sub-procesor został zobowiązany umową do stosowania środków technicznych i organizacyjnych zapewniających ochronę danych osobowych zgodnie z RODO. Aktualna lista sub-procesorów jest udostępniana na żądanie pod adresem [email protected].

6. Przekazywanie danych do państw trzecich

W związku z korzystaniem z usług Google LLC, Cloudflare, Inc. oraz Apple Inc. dane mogą być przekazywane do Stanów Zjednoczonych Ameryki. Podstawą przekazania jest:

• Decyzja stwierdzająca odpowiedni stopień ochrony — Decyzja Wykonawcza Komisji (UE) 2023/1795 z 10 lipca 2023 r. w sprawie EU–U.S. Data Privacy Framework (dla certyfikowanych podmiotów amerykańskich — Google i Cloudflare są certyfikowani);
• Standardowe klauzule umowne (SCC) — Decyzja Wykonawcza Komisji (UE) 2021/914 z 4 czerwca 2021 r. — w pozostałych przypadkach, w połączeniu z dodatkowymi środkami technicznymi (szyfrowanie E2EE wiadomości).

Kopię stosowanych SCC oraz informację o certyfikacji DPF danego sub-procesora można uzyskać na żądanie pod adresem [email protected].

7. Okres przechowywania danych

8. Bezpieczeństwo i szyfrowanie end-to-end

Aplikacja stosuje środki techniczne adekwatne do ryzyka (art. 32 RODO), w szczególności:

• Szyfrowanie E2EE wiadomości (X25519 + AES-256-GCM, opcjonalna hybryda ML-KEM oraz Forward Secrecy / Double Ratchet);
• Szyfrowanie połączeń audio/wideo (DTLS-SRTP + weryfikacja Ed25519);
• Szyfrowanie kluczy lokalnie (Keychain/Keystore z biometrią);
• TLS pinning + HTTPS w komunikacji klient–serwer;
• PIN aplikacji, kod „duress” (panic wipe), opcja samodzielnego usunięcia danych;
• Rate-limiting i monitorowanie nadużyć po stronie backendu.

Klucze prywatne nigdy nie opuszczają urządzenia użytkownika. Serwer nie ma technicznej możliwości odszyfrowania wiadomości w trybie E2EE.

9. Prawa użytkownika

Zgodnie z RODO przysługują Państwu następujące prawa:

1. Prawo dostępu (art. 15) — uzyskanie kopii danych osobowych (funkcja „Pobierz moje dane” w aplikacji);
2. Prawo do sprostowania (art. 16) — poprawienie nieprawidłowych danych;
3. Prawo do usunięcia (art. 17) — „prawo do bycia zapomnianym” (funkcja „Usuń konto” w aplikacji);
4. Prawo do ograniczenia przetwarzania (art. 18);
5. Prawo do przenoszenia danych (art. 20) — otrzymanie danych w ustrukturyzowanym formacie (JSON, do importu w innej usłudze);
6. Prawo sprzeciwu (art. 21) — wobec przetwarzania opartego o art. 6 ust. 1 lit. f;
7. Prawo cofnięcia zgody (art. 7 ust. 3) — w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania sprzed cofnięcia;
8. Prawo wniesienia skargi do organu nadzorczego:
   Prezes Urzędu Ochrony Danych Osobowych
   ul. Stawki 2, 00-193 Warszawa
   uodo.gov.pl

Aby skorzystać z praw 1–7, prosimy o kontakt pod adresem [email protected]. Odpowiadamy w terminie do 30 dni (art. 12 ust. 3 RODO; w uzasadnionych przypadkach termin może zostać przedłużony o kolejne 2 miesiące).

10. Czy podanie danych jest obowiązkowe

Podanie danych konta (UID + e-mail/telefon) jest wymogiem umownym — bez nich nie jest możliwe założenie konta i korzystanie z Usługi. Pozostałe dane (zdjęcie profilowe, nazwa wyświetlana) są dobrowolne.

11. Zautomatyzowane podejmowanie decyzji, profilowanie

Administrator nie podejmuje decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu danych, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie wpływały na użytkownika (art. 22 RODO).

12. Cookies i pamięć lokalna

Strony internetowe Administratora (/, /privacy, /terms) nie używają plików cookies do celów marketingowych ani analitycznych. Aplikacja mobilna używa bezpiecznego magazynu lokalnego (Keychain/Keystore) do przechowywania tokenu sesji i kluczy E2EE — nie są to pliki cookies w rozumieniu prawa telekomunikacyjnego (art. 173 Prawa Telekomunikacyjnego).

13. Dzieci i wiek minimalny

Usługa nie jest skierowana do osób poniżej 16. roku życia. Zgodnie z art. 8 RODO oraz polskimi przepisami wykonawczymi, użytkownik składający oświadczenie woli (akceptacja Regulaminu i Polityki) musi mieć ukończone 16 lat. W przypadku osób młodszych wymagana jest wyraźna zgoda osoby sprawującej władzę rodzicielską lub opiekę.

14. Naruszenia ochrony danych

W przypadku stwierdzenia naruszenia ochrony danych osobowych Administrator zgłasza je do Prezesa UODO nie później niż w terminie 72 godzin od stwierdzenia (art. 33 RODO), a jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób — zawiadamia również osoby, których dane dotyczą (art. 34 RODO).

15. Zmiany Polityki Prywatności

Polityka może być aktualizowana w celu odzwierciedlenia zmian w usłudze lub przepisach prawa. O istotnych zmianach informujemy z 14-dniowym wyprzedzeniem (in-app lub e-mail). Aktualna wersja jest zawsze dostępna pod adresem blackwirehq.com.pl/privacy oraz w aplikacji w sekcji „Ustawienia → O aplikacji → Regulamin i polityka prywatności”.