Polityka prywatności

§ 1. Administrator i kontakt

Administratorem danych osobowych jest FOODMATCH SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ z siedzibą w Warszawie (al. Jana Pawła II 43A lok. 35B, 01-001 Warszawa), wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0001261979, prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIII Wydział Gospodarczy KRS, NIP 5273233562, REGON 545560576, kapitał zakładowy 50 000,00 zł (dalej: „my”).
Polityka dotyczy aplikacji mobilnej FoodMatch na iOS i Androida (dalej: „Aplikacja”) oraz formularza zgłoszeniowego restauracji i zapisu na betę na foodmatch.pl. Panel restauratora i panel administracyjny wymagają osobnego opisu [do weryfikacji prawnej].
W sprawach danych osobowych, w tym żeby skorzystać ze swoich praw, pisz na kontakt@foodmatch.pl [do uzupełnienia: potwierdzić, że skrzynka działa]. Ogólne pytania o FoodMatch: hello@foodmatch.pl [do uzupełnienia: potwierdzić, że skrzynka działa].
Czy wyznaczamy inspektora ochrony danych [do weryfikacji prawnej].
Zasady korzystania z Aplikacji opisuje regulamin.

§ 2. Jakie dane zbieramy w Aplikacji

Konto

adres e-mail — także ten, który przekazuje Apple albo Google, gdy logujesz się ich kontem;
przy logowaniu przez Apple albo Google — identyfikator Twojego konta u tego dostawcy;
nazwa wyświetlana (może być pseudonimem), @nazwa i zdjęcie profilowe wraz z informacją, czy moderacja je zatwierdziła;
rok urodzenia — patrz § 6;
data akceptacji regulaminu i data zgody na informacje marketingowe, jeśli ją wyrazisz;
jednorazowe kody logowania (zapisujemy skrót kodu, nie sam kod; kod jest ważny 10 minut) i dane sesji logowania na urządzeniu.

Smak i rekomendacje

odpowiedzi z ankiety smaków i profil smaku (Food DNA);
wykluczenia i alergie. Alergie to informacja o zdrowiu — używamy ich wyłącznie do odfiltrowania dań, także we wspólnej decyzji grupy;
oceny dań w sesjach (gesty na kartach), przebieg sesji, wyświetlone wyniki i to, który wynik został wybrany.

Oglądanie postów w zakładce Social

zapisujemy, który post pokazaliśmy Ci w Social, na której pozycji i jak długo był na ekranie, a przy filmach — czy odtworzył się w pętli. Zapisujemy też reakcję, jeśli jakąś zrobiłeś (polubienie, zapisanie, komentarz, wysłanie postu, wejście w lokal lub przepis);
używamy tego do ustalania kolejności postów w zakładce „Polecane" i do statystyk (które treści są oglądane) — nie łączymy tego z reklamami i nie przekazujemy nikomu na zewnątrz;
surowe zapisy oglądania kasujemy po 90 dniach. Zestawienia zbiorcze, po których nie da się rozpoznać osoby, zostają dłużej;
jeśli usuniesz konto, zapisy oglądania przestają być powiązane z Tobą — zostają jako anonimowa informacja o tym, ile razy dana treść była pokazana.

Lokalizacja

Aplikacja prosi o dostęp do lokalizacji tylko podczas korzystania z niej, nie w tle. Położenie wysyłamy na serwer, żeby dobrać dania i lokale w pobliżu.
Punkt, od którego zaczynasz sesję swipe albo wspólną decyzję grupy (Twoje położenie, wybrana dzielnica albo wpisany adres), zapisujemy razem z tą sesją, bo od niego liczymy wynik.
Bez zgody na lokalizację Aplikacja pokazuje okolice centrum miasta.

Twoje treści i aktywność

posty ze zdjęciami albo wideo, recenzje lokali, przepisy i komentarze;
polubienia, zapisane przepisy, zapisane restauracje i udostępnienia (jaki rodzaj treści, którym kanałem — w Aplikacji albo linkiem);
zdjęcia przy zapisie przetwarzamy na nowo (kadr i kompresja), bez metadanych zapisanych przez aparat, w tym bez miejsca wykonania zdjęcia.

Wiadomości, grupy i bezpieczeństwo

treść wiadomości, skład rozmów i grup, prośby o rozmowę, zaproszenia do grup i głosy we wspólnej decyzji „Co zjemy?”;
blokady, które nakładasz, oraz zgłoszenia, które wysyłasz (co zgłaszasz i z jakiego powodu).

Powiadomienia

token powiadomień urządzenia, rodzaj systemu (iOS albo Android) i identyfikator urządzenia — żeby dostarczać powiadomienia o rozmowach, prośbach i grupach;
Twoje ustawienia powiadomień: rodzaje, ukrywanie podglądu treści, godziny ciszy.
Treść powiadomienia — z włączonym podglądem nazwa nadawcy i początek wiadomości — przechodzi przez Expo oraz usługę powiadomień Google (Android) albo Apple (iOS), które dostarczają ją na Twój telefon. Jeśli tego nie chcesz, włącz w ustawieniach ukrywanie podglądu: wtedy powiadomienie niesie samą nazwę Aplikacji. Zakres i okres przechowywania treści powiadomień u tych dostawców [do weryfikacji prawnej].

Dane techniczne

zapis korzystania z płatnych usług zewnętrznych (kto, jaka operacja, kiedy — na przykład wyszukanie adresu albo wysłanie wideo), żeby pilnować limitów kosztów;
raporty awarii serwera — patrz § 8. Zakres i okres przechowywania logów serwera [do weryfikacji prawnej].
raporty awarii Aplikacji, wysyłane do Sentry, gdy Aplikacja się wywróci: opis błędu, wersja Aplikacji, model telefonu i wersja systemu oraz adresy ostatnich zapytań do naszego serwera bez ich parametrów. Bez danych osobowych — bez adresu IP, bez powiązania z kontem, bez zrzutów ekranu i bez treści rozmów czy wpisywanych fraz. Okres przechowywania raportów [do weryfikacji prawnej].
frazy wpisywane w wyszukiwarce — bez powiązania z kontem i bez Twojego położenia: sama fraza, liczba wyników, czy wybrano któryś z nich i przybliżona dzielnica (najbliższy lokal w promieniu 3 km). Służą do sprawdzania, czego ludzie szukają i nie znajdują. Fraza może zawierać to, co sam wpiszesz, także dane osobowe [do weryfikacji prawnej].

Tylko na Twoim telefonie

Listę ostatnich wyszukiwań trzymamy wyłącznie w pamięci telefonu i możesz ją wyczyścić w wyszukiwarce. Na telefonie jest też kopia profilu smaku; wylogowanie ją czyści, a po ponownym zalogowaniu profil wraca z serwera. Zapisane restauracje są przypisane do konta, więc widzisz je na każdym urządzeniu.

§ 3. Po co przetwarzamy dane i na jakiej podstawie

Dane przetwarzamy, żeby:

prowadzić Twoje konto i umożliwić logowanie;
proponować dania i restauracje dopasowane do Twojego smaku i okolicy;
publikować Twoje treści i dostarczać wiadomości innym użytkownikom;
chronić użytkowników: stosować próg wieku dla wiadomości od nieznajomych, filtr pierwszej wiadomości od nieznajomego, blokady, zgłoszenia i moderację;
wysyłać powiadomienia, na które jest Twoja zgoda;
wysyłać informacje marketingowe — wyłącznie za osobną zgodą, którą możesz wycofać;
utrzymywać Aplikację: usuwać awarie, pilnować limitów kosztów usług zewnętrznych i liczyć zbiorcze statystyki korzystania (z naszej bazy, bez zewnętrznych narzędzi analitycznych).

Korzystanie z Aplikacji odbywa się na warunkach regulaminu, a informacje marketingowe wysyłamy na podstawie zgody. Podstawy prawne pozostałych celów [do weryfikacji prawnej].

Nierozstrzygnięte są w szczególności: podstawa profilowania smaku (Food DNA) [do weryfikacji prawnej: zgoda czy uzasadniony interes ze sprzeciwem] oraz podstawa przetwarzania alergii jako danych o zdrowiu [do weryfikacji prawnej: art. 9 RODO].

§ 4. Profilowanie i decyzje automatyczne

Profil smaku powstaje z ankiety i Twoich ocen. Algorytm łączy go z ocenami z bieżącej sesji i na tej podstawie układa propozycje dań i restauracji oraz kolejność postów w zakładce Social. Propozycje są podpowiedzią.
Profil smaku uczy się też z tego, jak oceniasz: jak szybko decydujesz, czy zaglądasz w opis dania i co robisz z wynikiem (na przykład „Prowadź” albo „Zadzwoń”). Po takim wyborze możemy następnego dnia raz zapytać, czy udało się tam dotrzeć i jak było — odpowiedź jest dobrowolna, a jej pominięcie niczego nie zmienia. [do weryfikacji prawnej]
Automatyczny filtr tekstu może ukryć publikowaną treść już w chwili publikacji. Ukrytą treść widzisz w zakładce „Publikacje” na swoim profilu, z informacją, że zatrzymał ją filtr.
Filtr sprawdza też pierwszą wiadomość od osoby spoza Twoich rozmów. Wiadomości, którą zatrzyma, nie kasuje — trafia do zakładki „odfiltrowane”.
Ocena, czy któreś z tych działań wywołuje wobec Ciebie skutki prawne albo podobnie istotne [do weryfikacji prawnej].

§ 5. Kto widzi Twoje dane

Inni użytkownicy widzą Twój profil publiczny: nazwę, @nazwę, zdjęcie profilowe (po zatwierdzeniu przez moderację), opublikowane treści i liczbę polubień, które dostały. Wiadomości widzą wyłącznie uczestnicy rozmowy.
Każdy z linkiem — treść udostępniona linkiem (post, recenzja, przepis) ma podgląd na foodmatch.pl, z nazwą autora. Podgląd znika, gdy treść zostanie usunięta albo ukryta.
Każdy w internecie — strona profilu (gdy ją uruchomimy): pod adresem foodmatch.pl/@nazwa pokażemy Twoją @nazwę, nazwę wyświetlaną, opis „O mnie” (chyba że zatrzymał go filtr treści albo moderacja — wtedy nie pokazujemy go nigdzie poza Twoim profilem), zdjęcie profilowe (po zatwierdzeniu przez moderację), liczbę publikacji i polubień, skrót Twoich smaków (chyba że go ukryjesz w ustawieniach prywatności) i ostatnie publikacje — bez tych, które oznaczysz „Nie pokazuj poza aplikacją”. Nazwa wyświetlana i opis mogą się też pojawić w podglądzie linku do profilu w komunikatorach i wyszukiwarkach. Nie pokażemy tam zapisanych lokali, diety ani alergii. Profilu osoby poniżej 18 lat (albo bez podanego roku urodzenia) nie ma na stronie wcale, a profil konta usuniętego, zablokowanego lub zawieszonego przestaje się wyświetlać[do weryfikacji prawnej].
Zespół moderacji pracuje na kontach imiennych z dwuetapowym logowaniem. Treść wiadomości moderator widzi wyłącznie po zgłoszeniu — zgłoszoną wiadomość z kilkoma sąsiednimi, nie całą rozmowę — a każdy taki wgląd jest odnotowywany.
Restauracje w swoim panelu widzą wyłącznie zbiorcze liczby (na przykład ile razy lokal pojawił się w wynikach i ile razy go wybrano) — bez danych, które pozwalają wskazać konkretną osobę. W Aplikacji nie można pisać do restauracji.
Wiadomości nie są szyfrowane end-to-end. Chronimy je podczas przesyłania i w kopiach zapasowych, ale osoby z dostępem technicznym do bazy mogłyby je odczytać.

§ 6. Wiek

Przy zakładaniu konta pytamy o rok urodzenia, a nie o pełną datę — do tego, do czego go używamy, wystarczy próg. To deklaracja; nie sprawdzamy jej dokumentem.
Rok urodzenia służy wyłącznie do jednego progu: rozmowy z osobami spoza dotychczasowych rozmów są dostępne od ukończenia 16 lat, po obu stronach. Pozostałe funkcje działają bez ograniczeń.
Próg 16 lat, minimalny wiek założenia konta i zasady zgody opiekuna prawnego [do weryfikacji prawnej].

§ 7. Oceny Google przy restauracjach

Przy części lokali pokazujemy średnią ocen i liczbę opinii z Google Maps, oznaczone źródłem. Pobieramy je z Google na podstawie identyfikatora wizytówki lokalu — nie przekazujemy przy tym Google żadnych danych użytkowników Aplikacji.
Nie pobieramy ani nie przechowujemy treści opinii, nazw ich autorów ani zdjęć. Ocenę odświeżamy co 7 dni, a ocenę starszą niż 30 dni przestajemy pokazywać i kasujemy.

§ 8. Dostawcy, którym powierzamy dane

Korzystamy z usług firm, które przetwarzają dane w naszym imieniu:

Hetzner — serwer z bazą danych i API, w Helsinkach (UE).
Cloudflare R2 — przechowywanie zdjęć (profilowych, postów, recenzji, przepisów) i kopii zapasowych bazy danych, w jurysdykcji UE.
Cloudflare Stream — przechowywanie i odtwarzanie wideo w postach.
Resend — wysyłka e-maili z kodem logowania i innych wiadomości transakcyjnych. U siebie zapisujemy adresata, rodzaj i status wysyłki — bez treści e-maila.
Google — zamiana wpisanego adresu na punkt na mapie (gdy wybierasz obszar sesji adresem), logowanie kontem Google (jeśli je wybierzesz) i mapa w Aplikacji na Androidzie.
Apple — logowanie przez Apple (jeśli je wybierzesz) i mapa w Aplikacji na iOS.
Expo — pośredniczy w dostarczaniu powiadomień na telefon (dalej przez usługi Apple i Google). Powiadomienie z włączonym podglądem niesie nazwę nadawcy i początek wiadomości.
Sentry — raporty awarii serwera i Aplikacji. Raport z Aplikacji nie niesie danych osobowych: bez adresu IP, identyfikatora konta, zrzutów ekranu i treści rozmów (zakres — § 2, „Dane techniczne”).

Umowy powierzenia z dostawcami, lokalizacja przetwarzania u każdego z nich i ewentualne przekazywanie danych poza Europejski Obszar Gospodarczy [do weryfikacji prawnej].

Nie sprzedajemy danych i nie udostępniamy ich reklamodawcom. Dane możemy przekazać organom publicznym, gdy wymaga tego prawo [do weryfikacji prawnej].

§ 9. Jak długo przechowujemy dane

Tam, gdzie okres jest już ustalony:

kod logowania jest ważny 10 minut;
sesja logowania na urządzeniu wygasa po 60 dniach bez odświeżenia;
dane konta przechowujemy do czasu usunięcia konta — co wtedy znika, a co zostaje, opisuje § 10;
zwolniona @nazwa (po zmianie albo usunięciu konta) jest zarezerwowana przez 90 dni;
kopie zapasowe bazy danych wykonujemy co 6 godzin;
frazy wyszukiwań (bez powiązania z kontem) usuwamy po 90 dniach;
niepotwierdzony zapis na betę usuwamy po 30 dniach od wysłania ostatniego linku (zapis na betę).

Nie są jeszcze ustalone i wymagają decyzji:

okres przechowywania wiadomości [do weryfikacji prawnej];
okres przechowywania materiału ze zgłoszeń i decyzji moderacji [do weryfikacji prawnej];
okres przechowywania kopii zapasowych [do uzupełnienia: liczba dni];
okres przechowywania zapisów technicznych (wysyłki e-maili, korzystanie z płatnych usług, udostępnienia, historia wyników) i kodów logowania po wygaśnięciu [do weryfikacji prawnej].

§ 10. Usunięcie konta

Konto usuniesz w każdej chwili w Aplikacji: Profil → Ustawienia i konto → Zarządzaj kontem → Usuń konto. Usunięcie potwierdzasz, wpisując wskazane słowo. Tego nie da się cofnąć. Konto usuniesz i swoje dane pobierzesz także wtedy, gdy jest zablokowane albo zawieszone — przyciski są na ekranie z informacją o karze.
Usuwamy: adres e-mail i powiązanie z Apple albo Google, nazwę wyświetlaną i zdjęcie profilowe, profil smaku (Food DNA) z historią ocen, sesji i wyników, wykluczenia i alergie, oceny lokali i pytania o wizyty, polubienia, reakcje i reposty, zapisane przepisy i restauracje, obserwacje i blokady, wysłane przez Ciebie zgłoszenia, Twoje posty i komentarze razem ze zdjęciami, członkostwo w rozmowach i grupach, sesje logowania, rok urodzenia, opis profilu, zgody marketingowe i tokeny powiadomień Twoich urządzeń. Pliki (zdjęcie profilowe, zdjęcia postów) kasujemy z magazynu w ciągu doby.
Zostają, odpięte od Ciebie i podpisane „Konto usunięte”: Twoje recenzje i przepisy oraz wiadomości w rozmowach z innymi (także wysłane w nich zdjęcia i nagrania głosowe). Rozmowy, w których byłeś jedyną drugą stroną, przechodzą u rozmówców w tryb tylko do odczytu.
Twoja @nazwa jest zarezerwowana przez 90 dni, żeby nikt nie podszył się pod Ciebie pod tą samą nazwą. Zapis konta zostaje w bazie oznaczony jako usunięty, bez danych wymienionych w pkt 2.
Jeśli logowałeś się przez Apple, przy usunięciu konta unieważniamy u Apple dostęp, który dało nam to logowanie (jego token przechowujemy zaszyfrowany i kasujemy razem z kontem). Konta, które ostatni raz logowały się przez Apple przed 15 września 2026 r., mogą takiego tokenu nie mieć — wtedy dostęp odbierzesz w ustawieniach Apple ID (aplikacje korzystające z Apple ID).
Listę ostatnich wyszukiwań trzymamy tylko na telefonie, więc usunięcie konta jej nie obejmuje — znika razem z Aplikacją albo po wyczyszczeniu w wyszukiwarce.
Zakres danych usuwanych i zachowywanych po usunięciu konta, w tym wiadomości w cudzych rozmowach [do weryfikacji prawnej].

§ 11. Twoje prawa i ustawienia

Część spraw załatwisz samodzielnie, w Aplikacji:

zmienisz nazwę, @nazwę i zdjęcie profilowe oraz odpowiedzi w ankiecie smaków;
wycofasz zgodę na informacje marketingowe (Zarządzaj kontem);
usuniesz własne treści i całe konto;
wyłączysz rodzaje powiadomień, ukryjesz ich podgląd i ustawisz godziny ciszy;
cofniesz dostęp do lokalizacji w ustawieniach telefonu.

Masz też prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przeniesienia i sprzeciwu wobec przetwarzania, a zgodę możesz wycofać w każdej chwili. Zakres tych praw zależy od podstawy przetwarzania [do weryfikacji prawnej]. Wniosek wyślij na kontakt@foodmatch.pl [do uzupełnienia: potwierdzić, że skrzynka działa] z adresu e-mail konta albo z podaniem @nazwy. Aplikacja nie ma jeszcze funkcji pobrania kopii danych — sposób i termin realizacji wniosków [do weryfikacji prawnej].

Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych.

§ 12. Formularz zgłoszeniowy restauracji na foodmatch.pl

Administratorem danych podanych w formularzu zgłoszeniowym restauracji jest FoodMatch. Dane (nazwa lokalu, adres, dane kontaktowe) przetwarzamy wyłącznie w celu rozpatrzenia zgłoszenia i kontaktu.
Przysługuje Ci prawo dostępu, sprostowania i usunięcia danych.
Formularz zbiera: nazwę i adres lokalu, miasto (opcjonalnie), imię i nazwisko osoby kontaktowej, e-mail, telefon, stronę lokalu (opcjonalnie) i wiadomość (opcjonalnie). Zapisujemy też stan zgłoszenia i notatki z jego rozpatrzenia.
Sprawdzając, czy lokal należy do zgłaszającego, możemy zadzwonić pod numer lokalu podany w Google albo na jego stronie. Po akceptacji wysyłamy na podany adres e-mail zaproszenie do panelu restauracji (przez Resend).
Podstawa prawna i okres przechowywania danych ze zgłoszenia, także odrzuconego [do weryfikacji prawnej].

§ 13. Zapis na betę na foodmatch.pl

Zapisując się na betę, podajesz adres e-mail. Zapisujemy go razem ze stroną, z której się zapisałeś (główna albo „dla restauracji”), chwilą i wersją treści zgody na kontakt oraz datą potwierdzenia.
Na podany adres wysyłamy mail z linkiem (przez Resend). Dopiero kliknięcie w link potwierdza zapis — bez tego nie wyślemy na ten adres nic więcej.
Adres wykorzystujemy wyłącznie po to, żeby zaprosić Cię do testów aplikacji przed jej publicznym udostępnieniem i zapytać o wrażenia z bety. Podstawą jest Twoja zgoda, którą możesz w każdej chwili wycofać, pisząc na kontakt@foodmatch.pl [do uzupełnienia: potwierdzić, że skrzynka działa] [do weryfikacji prawnej].
Zapis niepotwierdzony usuwamy po 30 dniach od wysłania ostatniego linku. Potwierdzony przechowujemy do zakończenia bety albo do wycofania zgody — co nastąpi wcześniej [do weryfikacji prawnej].

§ 14. Analityka na foodmatch.pl

Na stronie foodmatch.pl (nie w Aplikacji) możemy za Twoją zgodą używać Google Analytics 4, żeby policzyć odwiedziny, sprawdzić, z jakich stron i linków ktoś do nas trafia i czy działają zapisy na betę.
Pytamy o zgodę banerem; „Akceptuj” i „Odrzuć” są równie łatwe. Dopóki nie klikniesz „Akceptuj”, skrypt Google Analytics się nie wczytuje i nie powstają ciasteczka analityczne. Twój wybór zapamiętujemy w ciasteczku na 12 miesięcy.
Google Analytics zapisuje ciasteczka _ga i _ga_… i przesyła do Google dane o wizycie: odwiedzone strony, źródło wejścia, przybliżoną lokalizację, rodzaj urządzenia i przeglądarki. Nie przekazujemy do Google adresu e-mail ani danych z konta w Aplikacji.
Zgodę wycofujesz przyciskiem „Ustawienia cookies” w stopce strony — wtedy usuwamy ciasteczka analityczne z przeglądarki. Lista ciasteczek: Cookies.
Podstawą jest Twoja zgoda; rola Google (podmiot przetwarzający czy odrębny administrator), przekazywanie danych poza Europejski Obszar Gospodarczy i okres przechowywania danych w Google Analytics [do weryfikacji prawnej].

§ 15. Strona foodmatch.pl, zmiany polityki

Strona foodmatch.pl nie używa plików cookies marketingowych, a analitykę włącza tylko za Twoją zgodą (§ „Analityka na foodmatch.pl”) — szczegóły w zakładce Cookies. Gdzie działa strona i jakie logi zapisuje jej serwer [do uzupełnienia: dostawca hostingu landingu i zakres logów].
To wersja robocza. Wiążącą politykę prywatności przygotowujemy z prawnikiem i opublikujemy ją przed publicznym udostępnieniem Aplikacji.
O zmianach polityki poinformujemy w Aplikacji. Sposób i termin informowania [do weryfikacji prawnej].

Polityka prywatności FoodMatch