Prywatność (szkic)

SZKIC — do weryfikacji przez prawnika. Ta polityka prywatności zacznie obowiązywać dopiero wtedy, gdy opublikujemy ją bez tego oznaczenia.

Wersja 1.0 z 13 października 2026 r.

1. Kto odpowiada za twoje dane

Administratorem twoich danych osobowych jest «NAZWA OPERATORA», «ADRES», NIP «NIP», «REGON/KRS» — usługodawca Flikki (w tej polityce: „my”).

We wszystkich sprawach dotyczących danych pisz na hey@flikki.app. Nie wyznaczyliśmy inspektora ochrony danych.

Ta polityka dotyczy aplikacji na telefon, aplikacji w przeglądarce pod adresem app.flikki.app, rozszerzenia do Chrome i naszej strony internetowej. Słowa takie jak „rzecz”, „kolejka” czy „plan” znaczą to samo co w regulaminie.

2. Najkrócej

Staramy się trzymać jak najmniej. Nie pytamy o nazwisko, adres ani numer telefonu, nie znamy twojego hasła do Vinted i nie dostajemy danych karty. Wyjątek: jeśli zakładasz konto przez Google albo Apple, zapisujemy nazwę z tamtego konta jako twój pseudonim — często jest to imię i nazwisko. Zmienisz ją w ustawieniach.

Nie pokazujemy reklam, nie sprzedajemy danych, nie używamy narzędzi analitycznych firm trzecich i nie śledzimy cię na innych stronach. Nasza strona internetowa nie zapisuje niczego na twoim urządzeniu i nie ładuje żadnych skryptów z zewnątrz.

3. Jakie dane zbieramy, po co i na jakiej podstawie

Podstawy prawne to przepisy RODO, art. 6 ust. 1: lit. b — dane są potrzebne, żeby wykonać umowę z tobą (regulamin) albo podjąć działania przed jej zawarciem; lit. c — musimy je przetwarzać z mocy prawa; lit. f — nasz prawnie uzasadniony interes, który opisujemy przy każdym takim przypadku. Nie opieramy żadnego przetwarzania na zgodzie.

Konto — adres e-mail, imię albo pseudonim, kraj, język, waluta, czy adres e-mail jest potwierdzony, hasło (jeśli je ustawisz; trzymamy tylko jego skrót), data założenia konta, ustawienia, a jeśli logujesz się przez Google lub Apple (dziś tylko na app.flikki.app) — identyfikator tamtego konta; jeśli tym sposobem zakładasz konto, także nazwa z tamtego konta jako pseudonim (gdy jej nie ma — część adresu e-mail przed „@”). Po co: żeby prowadzić konto i cię logować. Podstawa: umowa (lit. b).
Prośba o link do logowania — kiedy prosisz o link, zapisujemy adres e-mail, imię lub pseudonim wpisane przy rejestracji i język. Dotyczy to także rejestracji, której nie dokończysz. Po co: żeby link zadziałał. Podstawa: działania przed zawarciem umowy i umowa (lit. b).
Zalogowane urządzenia — rodzaj (telefon, przeglądarka, rozszerzenie), nazwa urządzenia (na przykład „Chrome on MacBook” — podana przez aplikację albo, przy łączeniu kodem QR, odczytana z opisu przeglądarki, który ta wysyła), kiedy urządzenie połączono i kiedy ostatnio go używano, i z którego urządzenia je połączono. Nie zapisujemy przy nich adresu IP ani miejsca. Przy łączeniu kodem QR przez kilka minut trzymamy skrót (z tajnym kluczem) sieci, z której przeglądarka poprosiła o połączenie — nie sam adres — żeby telefon mógł ci powiedzieć, czy to ta sama sieć. Po co: żeby każde urządzenie dało się zobaczyć i odłączyć, i żeby wykryć przejęcie konta. Podstawa: umowa (lit. b) i bezpieczeństwo konta (lit. f).
Twoje rzeczy — zdjęcia (oczyszczone, punkt 4, i ich poprawione wersje), tytuły, opisy, marki, rozmiary, kategorie, stan, kolory, materiały, ceny, daty nabycia (jeśli je wpiszesz), paczki (z kwotą i datą zakupu, jeśli je wpiszesz), sprzedaże (kwota, miejsce, data), ogłoszenia (adres i numer ogłoszenia na Vinted), kolejki i ich wyniki, ustawienia, zapamiętane kategorie oraz historia naszych propozycji razem z twoją notatką do opisu. Po co: to jest usługa. Podstawa: umowa (lit. b).
Limity planu — ile rzeczy, kolejek, opisów, poprawek zdjęć i odświeżeń zużyto w bieżącym okresie i w poszczególnych dniach. Po co: żeby pilnować limitów planu. Podstawa: umowa (lit. b).
Płatności — gdy kupujesz plan: identyfikatory klienta, subskrypcji i płatności w Stripe, plan, okres rozliczeniowy, stan subskrypcji, daty okresów, liczba nieudanych płatności, data i powód zakończenia subskrypcji, okresy kupionych Mini oraz — przy zwrocie albo sporze z bankiem — jego rodzaj, kwota i waluta. Danych karty, imienia i nazwiska ani adresu rozliczeniowego nie dostajemy nigdy — zbiera je Stripe. Po co: żeby włączyć opłacony plan, wyłączyć go po nieudanych płatnościach albo po zwrocie i obsłużyć sprawy płatności. Podstawa: umowa (lit. b) oraz nasz interes w rozliczeniu zwrotów i sporów i w ochronie przed nadużyciami (lit. f).
Wiadomości do nas — temat i treść, a jeśli piszesz z aplikacji lub rozszerzenia: wersja aplikacji lub rozszerzenia, pełny opis przeglądarki lub telefonu, który wysyła urządzenie (tzw. user agent), rodzaj i adres ostatniego błędu, który aplikacja pokazała, oraz numer zapytania, przy którym się pojawił. Adresu do odpowiedzi nie zapisujemy przy wiadomości — przy wysyłce bierzemy adres e-mail twojego konta i odpowiadamy na niego. Wiadomość przychodzi też e-mailem do skrzynki zespołu (punkt 6). Po co: żeby ci odpowiedzieć i znaleźć przyczynę błędu. Podstawa: umowa, gdy piszesz o swoim koncie (lit. b), w pozostałych sprawach nasz interes w obsłudze zgłoszeń (lit. f).
Dwa pytania po rejestracji — czego używasz dziś do sprzedaży na Vinted (z możliwością wpisania nazwy innego narzędzia, do 80 znaków) i — tylko w krajach, w których Vinted ma Vinted Pro, a więc nie w Polsce — czy masz dostęp do Vinted Pro API. Odpowiedź nie jest obowiązkowa: możesz je pominąć. Odpowiedzi oglądamy tylko zbiorczo. Po co: żeby wiedzieć, co budować dalej. Podstawa: nasz interes w rozwijaniu usługi (lit. f).
Jak korzystasz z Flikki — data założenia konta, dni, w których dodawano lub zmieniano rzeczy, data pierwszego wystawienia i pierwszego połączenia komputera. Oglądamy je zbiorczo, jako liczby dla całych tygodni rejestracji. Po co: żeby wiedzieć, gdzie ludzie utykają. Podstawa: nasz interes w rozwijaniu usługi (lit. f).
Przypomnienie o zalegających rzeczach — jeśli go nie wyłączysz, raz w tygodniu wysyłamy e-mail z rzeczami, które wiszą na Vinted ponad 30 dni: ich nazwy, ceny, proponowaną niższą cenę i od ilu dni wiszą. Piszemy tylko wtedy, gdy od poprzedniej wiadomości co najmniej 5 kolejnych rzeczy wisi już ponad 30 dni, i tylko jeśli w ostatnich 60 dniach Flikki było używane na którymś z twoich urządzeń. Przychodzi z adresu hey@flikki.app, więc odpowiedź trafia do skrzynki zespołu. Zapisujemy tylko, czy przypomnienie jest włączone, kiedy wysłaliśmy ostatnie i od kiedy liczymy; treści wiadomości nie przechowujemy. Wyłączysz je w ustawieniach albo linkiem z każdej takiej wiadomości, bez logowania. Po co: żeby rzeczy, które się nie sprzedają, nie znikały ci z oczu. Podstawa: nasz interes w tym, żeby usługa była dla ciebie użyteczna (lit. f); sprzeciw wyrażasz, wyłączając przypomnienie.
Bezpieczeństwo — zapis logowań i rejestracji (z informacją, jakim sposobem), ustawienia i usunięcia hasła, łączenia i odłączania urządzeń, ponownego użycia starego tokenu, usunięcia konta (przez ciebie lub przez nas), jego ostatecznego skasowania, zablokowania i odblokowania. Zapis zawiera pseudonim konta (skrót jego identyfikatora z tajnym kluczem) i identyfikator sesji, bez adresu IP. Po dodaniu, zmianie albo usunięciu hasła wysyłamy ci e-mail z ostrzeżeniem. Do ograniczania liczby prób logowania i innych działań trzymamy skrót — z tajnym kluczem — adresu e-mail, adresu IP (przy IPv6: jego części wspólnej dla sieci domowej), identyfikatora konta albo sesji; samego adresu IP nie zapisujemy. Po co: żeby chronić konta przed przejęciem i usługę przed nadużyciami. Podstawa: nasz interes w bezpieczeństwie (lit. f).
Dane techniczne — przy każdym zapytaniu do serwera zapisujemy metodę, wzorzec adresu w aplikacji (bez parametrów), wynik, czas odpowiedzi, identyfikator konta i numer zapytania, który aplikacja może pokazać przy błędzie. Bez adresu IP i bez opisu przeglądarki. Po co: żeby naprawiać błędy i odnaleźć konkretny problem, gdy o nim piszesz. Podstawa: nasz interes w działającej usłudze (lit. f).
Działania zespołu — jeśli zablokujemy konto, zapisujemy powód; jeśli przyznamy ci plan, możemy dopisać notatkę, której nie widzisz. Każde takie działanie trafia do dziennika administracji z identyfikatorem konta. Po co: żeby było wiadomo, kto i dlaczego coś zmienił. Podstawa: nasz interes w rozliczalności i ochronie przed nadużyciami (lit. f).
Zgłoszenia nielegalnych treści, reklamacje i odstąpienia od umowy — to, co do nas napiszesz, i nasza odpowiedź. Podstawa: obowiązki z ustawy o prawach konsumenta i aktu o usługach cyfrowych (lit. c) oraz nasz interes w obronie przed roszczeniami (lit. f).

Podanie adresu e-mail i pseudonimu jest dobrowolne, ale bez nich nie założysz konta. Wszystko inne podajesz, korzystając z usługi, i to ty decydujesz, co wpiszesz.

4. Zdjęcia, propozycje i poprawki zdjęć

Czyszczenie zdjęć. Chwilę po wgraniu zdjęcia zapisujemy je na nowo — jako JPEG, PNG albo WebP (zdjęcie HEIC z iPhone’a jako JPEG), najwyżej 2048 pikseli na dłuższym boku: obrócone tak, jak ma być oglądane, i bez ukrytych danych, które dopisał do pliku telefon albo aparat — między innymi bez miejsca zrobienia zdjęcia (GPS), daty, modelu aparatu i nazwiska autora. Plik w postaci, w jakiej do nas przyszedł, kasujemy 20 minut później — przechowujemy i pokazujemy tylko tę oczyszczoną kopię. Tak samo czyścimy poprawione wersje zdjęć.

Propozycje. Kiedy dodajesz rzecz albo prosisz o nową propozycję, przygotowujemy tytuł, opis, kategorię, markę, rozmiar, stan, kolory, materiały i cenę. Robimy to tak:

Pierwsze zdjęcia rzeczy (dziś do sześciu), zapisane jako JPEG o szerokości 1600 pikseli, wysyłamy do Google, do usługi Gemini API (punkt 6). Razem z nimi idzie to, co już o rzeczy wiadomo — tytuł, marka, rozmiar, stan, dla kogo jest, twoja notatka do opisu — twój kraj, język i waluta Vinted w tym kraju oraz nasze listy kategorii, kolorów i materiałów.
Oprogramowanie Google rozpoznaje, co jest na zdjęciach, i odsyła nam propozycję. Potem wysyłamy samo to, co rozpoznano, bez zdjęć, żeby dobrać kategorię z naszej listy. Jeśli na którymś zdjęciu jest metka, wysyłamy jeszcze raz to jedno zdjęcie, żeby dokładnie ją odczytać.
Propozycję wpisujemy do rzeczy i zapisujemy w jej historii razem z twoją notatką. Możesz ją zmienić albo poprosić o nową. Nic nie trafia na Vinted, dopóki nie puścisz kolejki.

Nie wysyłamy wtedy twojego adresu e-mail, pseudonimu ani identyfikatora konta — tylko zdjęcia, dane rzeczy i twoją notatkę. Korzystamy z płatnej wersji Gemini API. Według warunków Google dla tej wersji Google nie używa takich zapytań ani odpowiedzi do ulepszania swoich produktów, a przechowuje je przez 55 dni wyłącznie po to, żeby wykrywać naruszenia swoich zasad korzystania z usługi i im zapobiegać.

Nie podejmujemy wobec ciebie decyzji, które opierałyby się wyłącznie na zautomatyzowanym przetwarzaniu i wywoływały skutki prawne albo podobnie na ciebie wpływały: propozycja ceny czy kategorii to tylko propozycja, o której decydujesz ty.

Fotografuj same rzeczy: jeśli na zdjęciu znajdzie się czyjaś twarz albo dokument, trafi do tej firmy razem z resztą zdjęcia. Nie wpisuj też w notatce do opisu niczego o sobie.

Poprawki zdjęć. „Popraw jakość” i „Usuń tło” działają na twoim telefonie: na iPhonie wbudowaną funkcją systemu (Apple Vision), na Androidzie biblioteką Google ML Kit wbudowaną w aplikację. Zdjęcie nie jest do tego nigdzie wysyłane. Gotową poprawioną wersję wgrywamy do Flikki obok zdjęcia sprzed poprawki, które zostaje bez zmian.

Google ML Kit w aplikacji na telefon. Tej samej biblioteki Google aplikacja używa do odczytania kodu QR przy łączeniu urządzeń (na iPhonie i na Androidzie). Obraz z aparatu i zdjęcia są przetwarzane na telefonie i nie trafiają do Google. Według informacji Google biblioteka ta wysyła jednak do Google dane diagnostyczne: informacje o urządzeniu (producent, model, wersja systemu) i o działaniu funkcji (na przykład czas przetwarzania), a przy skanowaniu kodów — także losowy identyfikator sesji skanowania. Nie dołączamy do nich żadnych danych twojego konta.

5. Rozszerzenie do Chrome — jakie dane przez nie przechodzą

Co przechowuje w przeglądarce. Po połączeniu z kontem: token sesji i identyfikator sesji Flikki (w pamięci rozszerzenia, która przetrwa zamknięcie przeglądarki) i krótkotrwały token dostępu (w pamięci, którą przeglądarka czyści przy zamknięciu). W czasie kolejki także: numer kolejki, rzecz, którą właśnie wypełnia — z danymi i podpisanymi adresami jej zdjęć, a przy zmianie ceny z adresem ogłoszenia na Vinted i nową ceną, a przy odświeżeniu ogłoszenia z adresem starego ogłoszenia i tytułem, z którym je wystawiono (także gdy musi poczekać, na przykład na twoje zalogowanie, również po ponownym uruchomieniu przeglądarki) — tytuł ostatniej rzeczy, który pokazuje w okienku, numer karty, w której pracuje, to, czy Vinted poprosił o zalogowanie, i zgłoszenia awarii czekające na wysłanie. Nie przechowuje hasła do Flikki ani niczego z twojego konta Vinted. Odłączenie rozszerzenia od konta usuwa wszystko poza zapisanymi opisami formularza Vinted, takimi samymi dla każdego i bez twoich danych — także rzecz, którą właśnie wypełniało, i wyniki, których serwer Flikki jeszcze nie przyjął (przed usunięciem rozszerzenie próbuje je wysłać, a okienko uprzedza, że to, czego nie wyśle, zniknie). Tylko gdy sesję rozszerzenia zakończy serwer Flikki (wygaśnie albo konto zostanie zablokowane), takie wyniki — rzecz, która mogła już trafić na Vinted, z tytułem, wpisanymi w formularz wartościami, także opisem i ceną, adresem ogłoszenia oraz numerami kolejki, zadania i konta — zostają, żeby ta sama rzecz nie została wystawiona drugi raz, i rozszerzenie wysyła je, gdy znów połączysz je z tym samym kontem.

Kiedy działa. Tylko na stronach Vinted i tylko w kolejce, którą puścisz w aplikacji Flikki. Jest zbudowane tak, żeby pracować w jednej karcie, którą otwiera przy starcie kolejki; kolejne rzeczy wypełnia w tej samej karcie, także wtedy, gdy przełączysz się na inną. Jeśli zamkniesz przeglądarkę w trakcie kolejki, po jej ponownym uruchomieniu rozszerzenie wraca do tej kolejki i samo otwiera Vinted — chyba że kolejkę wstrzymasz albo przerwiesz w aplikacji. Kolejki odświeżania ogłoszeń nie wznawia samo: czeka, aż wznowisz ją w aplikacji albo przyciskiem „Wznów” w okienku rozszerzenia. Zanim weźmie rzecz z kolejki i gdy otworzysz jego okienko, sprawdza, czy ta przeglądarka jest zalogowana na Vinted: wysyła w tle jedno zapytanie do Vinted z ciasteczkami Vinted, które ma przeglądarka, i odczytuje z odpowiedzi tylko jej status i adres, na którym się skończyła — nie jej treść — i zostawia z tego jedno słowo (zalogowana, niezalogowana albo „nie wiadomo”), które pokazuje w okienku i w aplikacji Flikki.

Zmiana ceny. Na twoje polecenie w aplikacji Flikki rozszerzenie zmienia też cenę twoich ogłoszeń, które już są na Vinted: otwiera ogłoszenie, przechodzi do jego edycji, wpisuje nową cenę i zapisuje zmianę. Potem sprawdza na stronie ogłoszenia, czy widać nową cenę. Cenę we Flikki zmieniamy dopiero wtedy, gdy nowa cena jest widoczna na stronie tego samego ogłoszenia, albo gdy potwierdzisz w aplikacji, że już tam jest.

Odświeżenie ogłoszenia. Na twoje polecenie w aplikacji Flikki — tylko wtedy, gdy włączymy tę funkcję, i tylko dla ogłoszeń wystawionych co najmniej 14 dni wcześniej — rozszerzenie usuwa twoje stare ogłoszenie na Vinted i wystawia tę samą rzecz od nowa z aktualnych danych we Flikki, jedną rzecz naraz, w tym samym tempie co wystawianie. Najpierw otwiera stare ogłoszenie i sprawdza, czy to na pewno ono (jego numer i tytuł); jeśli nie ma pewności, niczego nie usuwa. Tuż przed naciśnięciem „Usuń” i przed wystawieniem nowego ogłoszenia pyta serwer Flikki, czy może. Po usunięciu sprawdza na stronie starego ogłoszenia, że go już nie ma. Stare ogłoszenie traci przy tym polubienia i wyświetlenia. Jeśli Vinted poprosi o potwierdzenie, że jesteś człowiekiem, rozszerzenie niczego tam nie klika i wstrzymuje kolejkę.

Co pobiera i wysyła.

Pobiera z serwera Flikki dane jednej rzeczy (tytuł, opis, cenę, kategorię, rozmiar, stan, kolory, materiały, markę) i jej zdjęcia — spod podpisanych adresów ważnych 15 minut — i wpisuje je w formularz Vinted w twojej przeglądarce.
Po dodaniu ogłoszenia wysyła do Flikki jego adres i numer na Vinted oraz to, co wpisało w formularz, łącznie z wartością odczytaną z formularza tam, gdzie zostawiamy wybór Vinted (na przykład kategorię, którą Vinted podpowiedział).
Przy zmianie ceny pobiera z serwera Flikki adres ogłoszenia na Vinted, tytuł rzeczy (pokazuje go w okienku rozszerzenia) i nową cenę. Po zapisaniu odczytuje cenę widoczną na stronie ogłoszenia, ale tylko porównuje ją z nową ceną w przeglądarce i jej nie wysyła. Do Flikki wysyła adres ogłoszenia, wpisaną nową cenę i to, czy nowa cena była widoczna. Jeśli nie była albo jeśli po zapisaniu otworzyła się strona innego ogłoszenia, wysyła to samo, co przy każdym nieudanym kroku (następny punkt).
Przy odświeżeniu pobiera z serwera Flikki adres starego ogłoszenia na Vinted i tytuł, z którym je wystawiono, a do wystawienia od nowa — dane rzeczy i zdjęcia jak przy każdym wystawianiu. Tytuł widoczny na stronie ogłoszenia porównuje z tym tytułem w przeglądarce i go nie wysyła. Do Flikki wysyła pytanie o zgodę przed usunięciem i przed wystawieniem (tylko numer zadania), potem to, że stare ogłoszenie zniknęło, albo powód, dla którego go nie usunęło, a po wystawieniu to samo, co przy dodaniu każdego ogłoszenia.
Gdy krok się nie uda, wysyła ścieżkę strony formularza (bez parametrów i bez tytułu, który Vinted dopisuje do adresu ogłoszenia — zostaje sam numer), jego budowę (nazwy pól i elementów strony, bez tekstu i bez wartości) i opis elementu, którego nie znalazło (do 300 znaków). Ten opis może zawierać nazwę kategorii albo markę twojej rzeczy, jeśli właśnie ich szukało w formularzu.
Wysyła też zgłoszenia o tym, co zatrzymało kolejkę: strona logowania Vinted (sama ścieżka), przy odświeżaniu — prośba Vinted o potwierdzenie, że jesteś człowiekiem, brak zgody na dostęp do Vinted, zamknięta karta, potrzeba aktualizacji rozszerzenia, niepoprawny opis formularza, a przy błędzie w samym rozszerzeniu — pierwszą linię komunikatu błędu (do 200 znaków). Przy każdym zgłoszeniu zaznacza, czy zdarzyło się w trakcie wystawiania, zmiany ceny czy odświeżania.
Do każdego wyniku i zgłoszenia dołącza wersję rozszerzenia i nazwę przeglądarki z numerem wersji (na przykład „Chrome 128”) — nie pełny opis przeglądarki.
Nie czyta plików cookie ani haseł i nie czyta stron innych niż Vinted. Łączy się tylko ze stronami Vinted, z serwerem Flikki i — żeby pobrać zdjęcia rzeczy — z magazynem zdjęć Flikki w Cloudflare (punkt 6).

Ogłoszenie, które dodajesz, nowa cena, którą zmieniasz, i usunięcie ogłoszenia, które odświeżasz, trafiają do Vinted. Za to, co dzieje się z nimi na Vinted, odpowiada Vinted, według swojej polityki prywatności.

6. Komu przekazujemy dane

Firmy, które przetwarzają dane w naszym imieniu. Każda dostaje tylko to, czego potrzebuje do swojego zadania, i działa na podstawie umowy powierzenia przetwarzania danych.

Dostawca hostingu — serwery, na których działa Flikki, baza danych i nasze strony. Przechowuje wszystkie dane opisane w punkcie 3.
Cloudflare (Cloudflare, Inc., USA) — usługa R2: przechowywanie zdjęć rzeczy i archiwów eksportu danych (do ich skasowania, punkt 8).
Resend (Resend, USA) — wysyłka e-maili (przez SMTP): z linkiem do logowania, z ostrzeżeniem o dodaniu, zmianie albo usunięciu hasła, z linkiem do eksportu danych (link prowadzi wprost do twojego archiwum), z potwierdzeniem usunięcia konta, cotygodniowego przypomnienia o rzeczach, które wiszą na Vinted ponad 30 dni (z ich nazwami i cenami), i wiadomości do skrzynki zespołu.
Dostawca skrzynki e-mail zespołu (hey@flikki.app) — trafiają tam twoje wiadomości z aplikacji, z adresem e-mail twojego konta jako adresem do odpowiedzi, treścią i danymi technicznymi; twoje odpowiedzi na nasze e-maile; zbiorcze powiadomienia o awariach formularza Vinted, bez danych kont; oraz powiadomienia o zwrotach, sporach i problemach z płatnościami — z identyfikatorem konta, identyfikatorami Stripe (także identyfikatorem klienta) i kwotami.
Google (usługa Gemini API) — rozpoznawanie rzeczy na zdjęciach i pisanie propozycji tytułu, opisu i ceny (punkt 4). Dostaje zdjęcia, dane rzeczy i twoją notatkę, nigdy dane konta. Przetwarza je jako podmiot przetwarzający, według umowy powierzenia Google dla usług, w których Google przetwarza dane w imieniu klienta (Data Processing Addendum).

Płatności — Stripe i Link. Płatność za Mini, Pro i Max prowadzi Link, usługa Stripe, jako sprzedawca w tej płatności. Kiedy przechodzisz do płatności, przekazujemy Stripe adres e-mail twojego konta (albo, jeśli już płaciłeś (płaciłaś), identyfikator klienta w Stripe), nasz identyfikator konta, wybrany plan i okres rozliczeniowy oraz język strony płatności. Dane karty, imię i nazwisko, adres rozliczeniowy i resztę danych potrzebnych do płatności podajesz bezpośrednio Stripe — my ich nie dostajemy. Stripe i Link przetwarzają te dane jako osobny administrator, według polityki prywatności Stripe i Link: wysyłają ci e-maile o płatnościach (rachunki, faktury, zwroty, przypomnienia o odnowieniu), obsługują sprawy płatności i spory z bankiem, chronią płatności przed oszustwami, a na link.com możesz zobaczyć swoje płatności i zarządzać subskrypcją. Stripe prowadzi własny rekord klienta, który nie znika razem z kontem we Flikki. O usunięcie danych płatności i konta Link możesz poprosić Stripe — Stripe anuluje wtedy subskrypcję kupioną przez Link i usuwa te dane, także z naszego konta w Stripe.

Google — ML Kit w aplikacji na telefon. Biblioteka Google ML Kit (punkt 4) wysyła do Google dane diagnostyczne o urządzeniu i o działaniu swoich funkcji, bez zdjęć i bez danych konta.

Logowanie przez Google albo Apple (dziś tylko na app.flikki.app). Jeśli wybierzesz ten sposób, Google albo Apple dowiaduje się, że logujesz się do Flikki, i przekazuje nam twój adres e-mail, identyfikator konta i nazwę. Robi to jako osobny administrator, według swojej polityki prywatności. Skrypt Google albo Apple ładuje się dopiero wtedy, gdy na stronie logowania klikniesz przycisk logowania przez Google albo Apple.

Vinted. To, co wystawiasz przez rozszerzenie, trafia do Vinted na twoje polecenie (punkt 5). Vinted jest osobnym administratorem tych danych.

Urzędy i sądy. Dane możemy przekazać, gdy wymaga tego prawo, na żądanie uprawnionego organu.

Kto z zespołu Flikki co widzi. Osoby z uprawnieniami administratora widzą — w zakresie potrzebnym do obsługi zgłoszeń i ochrony przed nadużyciami: adres e-mail, pseudonim, czy adres jest potwierdzony, sposoby logowania, język, kraj i walutę, plan i wykorzystanie limitów, subskrypcję (z identyfikatorem klienta w Stripe) i przyznane plany, liczby rzeczy, paczek, sprzedaży, kolejek, ogłoszeń i wiadomości, sumę sprzedaży, zalogowane urządzenia, powód blokady i historię działań administratorów; twoje wiadomości do nas z danymi technicznymi; zbiorcze odpowiedzi na pytania po rejestracji; zgłoszenia z rozszerzenia przypisane do konta (ścieżka strony, opis elementu — który może zawierać kategorię albo markę rzeczy — budowa formularza, pierwsza linia błędu). Tytułów, opisów ani zdjęć twoich rzeczy w panelu administracji nie ma.

7. Dane poza Europejskim Obszarem Gospodarczym

Cloudflare i Resend to firmy z USA, a dane, które im powierzamy, mogą być przetwarzane w USA — według Resend dane z jego usługi są przechowywane w USA. Google, według warunków Gemini API, może przechowywać dane z zapytań przejściowo albo w pamięci podręcznej w każdym kraju, w którym ma infrastrukturę — także poza EOG. Takie przekazanie opieramy na decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony danych w ramach EU-US Data Privacy Framework — wobec firm, które przystąpiły do tych ram — oraz na standardowych klauzulach umownych zatwierdzonych przez Komisję Europejską, które są częścią umów powierzenia tych firm (art. 45 i art. 46 ust. 2 lit. c RODO). Kopię tych zabezpieczeń możesz dostać, pisząc na hey@flikki.app.

Stripe, Apple i Google — przy logowaniu i w bibliotece ML Kit — przekazują dane poza EOG jako osobni administratorzy, na zasadach opisanych w swoich politykach prywatności.

8. Jak długo przechowujemy dane

Konto. Dopóki masz konto. Konto usuwasz w ustawieniach; przez 30 dni możesz wrócić, logując się tym samym adresem e-mail — linkiem, hasłem (jeśli je masz) albo przez Google lub Apple. Połączenie kodem QR konta nie przywraca. Przy usunięciu przerywamy trwającą kolejkę i anulujemy wszystko, co czekało na wykonanie w tle — na przykład opisy do napisania, przygotowanie świeżo wgranych zdjęć, eksport danych albo wysłanie twojej wiadomości do skrzynki zespołu; to nie wraca razem z kontem. Subskrypcję (miesięczną albo roczną) anulujemy w Stripe zaraz po usunięciu; jeśli wrócisz, zanim to nastąpi, subskrypcja zostaje. Kupione Mini i przyznane plany zostają. Po 30 dniach kasujemy wszystkie dane konta, zdjęcia i dane o płatnościach zapisane u nas (jeśli trwa jeszcze anulowanie subskrypcji w Stripe, czekamy, aż się zakończy). Zostaje wpis, że konto zostało skasowane: skrót (SHA-256) jego identyfikatora i daty usunięcia i skasowania. To pseudonim, nie dane anonimowe: kto zna identyfikator konta, może go do wpisu dopasować.

Po skasowaniu konta zostają też: wpisy w dzienniku administracji — bez powiązania z kontem, ale z treścią powodu blokady czy notatki do planu, jeśli taka była; logi, do końca ich okresu przechowywania; wiadomości w skrzynce zespołu; e-maile, które już wysłaliśmy; i rekord klienta w Stripe, jeśli płaciłeś (płaciłaś).

Rzeczy i to, co usuwasz pojedynczo. Usunięta rzecz, zdjęcie, paczka, sprzedaż czy ogłoszenie nie znika z bazy od razu — zostaje ukryte do usunięcia konta. Przywrócić można tylko rzecz; usuniętego zdjęcia, paczki, sprzedaży ani ogłoszenia w aplikacji nie przywrócisz. Usunięcie paczki na stałe odłącza od niej rzeczy. Wyczyszczony opis kasujemy od razu. Poprawioną wersję zdjęcia, którą zastąpisz albo cofniesz, kasujemy po 24 godzinach.

Pozostałe dane:

Kolejki i ich przebieg — 90 dni po zakończeniu albo przerwaniu kolejki; kolejka, która nigdy nie ruszyła, zostaje do usunięcia konta. Informacja, że rzecz została wystawiona (adres ogłoszenia), zostaje w twoim spisie.
Archiwum eksportu danych — link działa 24 godziny; archiwum kasujemy w ciągu godziny po wygaśnięciu linku.
Zdjęcia wgrane, ale nieprzypisane do żadnej rzeczy — 24 godziny; zdjęcia z niezamkniętej sesji zdjęć w telefonie — do 7 dni.
Link do logowania — ważny 15 minut, działa raz; wpis z adresem e-mail, imieniem i językiem kasujemy godzinę po wygaśnięciu, także gdy rejestracja nie została dokończona.
Kod QR do połączenia urządzenia — ważny 90 sekund (po zeskanowaniu dostaje minutę na każdy kolejny krok); kasujemy go godzinę po wygaśnięciu.
Zalogowane urządzenie — sesja wygasa po 180 dniach bez używania na telefonie i po 30 dniach w przeglądarce i w rozszerzeniu; każde użycie przedłuża ten czas. Wpis o urządzeniu, także odłączonym, zostaje ukryty do usunięcia konta.
Ślady prób logowania i innych limitów — godzina. Wpis o nieudanych próbach logowania — 2 dni po ostatniej nieudanej próbie; sama blokada trwa najwyżej godzinę.
Zgłoszenia z rozszerzenia — 30 dni. Zbiorcze zgłoszenia awarii formularza Vinted — dopóki awaria trwa, a po jej usunięciu 180 dni.
Wiadomości do nas, odpowiedzi na pytania po rejestracji, dni korzystania z Flikki, liczniki limitów, historia propozycji, dane o płatnościach — do usunięcia konta.
Kolejka zadań serwera (w niej między innymi treść wiadomości do nas, zanim trafi do skrzynki zespołu) — 7 dni po wykonaniu zadania, a jeśli się nie udało — 30 dni, razem z jego danymi; przy nieudanym zadaniu zapisujemy tylko rodzaj błędu, bez jego treści. Zapis odpowiedzi na powtórzone zapytania (żeby ponowione zapytanie nie zrobiło czegoś dwa razy) — 24 godziny.
Identyfikatory powiadomień od Stripe — 90 dni.
Logi serwera — 30 dni; zapis zdarzeń bezpieczeństwa — 400 dni.
Wiadomości w skrzynce zespołu — tak długo, jak potrzebujemy ich do obsługi sprawy i do obrony przed roszczeniami z nią związanymi.
Zgłoszenia nielegalnych treści, reklamacje i odstąpienia od umowy — do upływu terminu przedawnienia roszczeń z nimi związanych.

9. Logi

Staramy się, żeby w logach serwera nie było twoich danych, i robimy to tak: zapis zapytania zawiera tylko metodę, wzorzec adresu, wynik, czas, identyfikator konta i numer zapytania — bez adresu IP, opisu przeglądarki i parametrów. Zanim cokolwiek trafi do logu, wycinamy z niego adresy e-mail, ścieżki i parametry adresów (także podpisanych adresów zdjęć) i tokeny w formie „Bearer” i JWT, a pola o nazwach takich jak e-mail, tytuł, opis, notatka, nazwa, hasło, token czy adres zastępujemy znakiem „usunięte”. Celowo nie zapisujemy w logach treści wiadomości do nas ani tego, co wysyłamy do Google w zapytaniach o propozycję i co od niego dostajemy.

Nie obiecujemy jednak, że twoje dane nigdy do logu nie trafią: pełny komunikat nieoczekiwanego błędu — na przykład z bazy danych albo przy odczycie odpowiedzi od Google — może zawierać fragment tytułu, opisu albo propozycji, a tokenów bez takiej formy (na przykład z linku do logowania) filtr nie rozpozna. To luki, które mamy zapisane do naprawy. Przy samym zadaniu w tle, które się nie udało, zapisujemy tylko rodzaj błędu, bez jego treści.

Rozszerzenie przy awarii nie wysyła tekstu ani wartości ze strony Vinted — poza tym, co opisujemy w punkcie 5 (opis elementu, pierwsza linia błędu).

10. Twoje prawa

Dostęp i kopia danych — w ustawieniach pobierzesz za darmo, na każdym planie, archiwum ZIP: pliki JSON z danymi konta, ustawień, sposobów logowania, urządzeń, rzeczy (także usuniętych), opisów, zdjęć (z poprawionymi wersjami), sesji zdjęć w telefonie, paczek, sprzedaży, ogłoszeń, próśb o poprawkę, kolejek, propozycji, twoich własnych przypisań kategorii, limitów, subskrypcji, przyznanych planów, eksportów, dni korzystania z Flikki i odpowiedzi na pytania po rejestracji; pliki CSV z rzeczami i sprzedażami; pliki zdjęć w postaci, w jakiej je przechowujemy (oczyszczone, punkt 4), i ich poprawione wersje. Link do archiwum wyślemy e-mailem; działa 24 godziny. W archiwum nie ma: wiadomości do nas, zgłoszeń z rozszerzenia, zapisu zdarzeń bezpieczeństwa, powodu blokady, notatek zespołu, identyfikatorów Stripe ani zapisów zwrotów i sporów — o nie możesz poprosić, pisząc na hey@flikki.app.
Sprostowanie — pseudonim, rzeczy i ustawienia zmieniasz w aplikacji. Adresu e-mail w aplikacji nie zmienisz — napisz do nas.
Usunięcie — konto usuwasz w ustawieniach (punkt 8). O usunięcie pojedynczych danych możesz też poprosić e-mailem.
Ograniczenie przetwarzania — możesz o nie poprosić, na przykład gdy kwestionujesz prawidłowość danych.
Sprzeciw — wobec przetwarzania opartego na naszym interesie (lit. f) możesz wnieść sprzeciw, pisząc na hey@flikki.app. Przestaniemy, chyba że wykażemy ważne podstawy, które są nadrzędne wobec twoich interesów, albo dane są potrzebne do obrony przed roszczeniami. Przypomnienie o zalegających rzeczach wyłączysz w ustawieniach, bez pisania do nas.
Przenoszenie danych — to ten sam eksport: pliki JSON i CSV, które otworzy każdy program.
Skarga — możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa) albo do organu nadzorczego w kraju, w którym mieszkasz lub pracujesz.

Na wiadomości w sprawie danych odpowiadamy najpóźniej w ciągu miesiąca. Możemy poprosić o wiadomość z adresu e-mail twojego konta, żeby upewnić się, że piszesz ty.

Nasza strona internetowa nie używa plików cookie ani niczego, co zapisuje się na twoim urządzeniu, i nie ładuje skryptów z zewnątrz. Nie ma na niej analityki.
app.flikki.app nie używa plików cookie. W pamięci przeglądarki (localStorage) trzyma token, dzięki któremu pozostajesz zalogowany (zalogowana), wybrany język, ostatni wybór działu (dla kogo jest rzecz) na ekranie dodawania i numer eksportu danych, na który czekasz; w pamięci karty (sessionStorage) — stronę, na którą wrócisz po zalogowaniu, i to, czy pytania po rejestracji są już za tobą. To wszystko jest potrzebne do działania aplikacji, więc nie pytamy o zgodę. Nie ma tam analityki ani reklam. Jeśli klikniesz logowanie przez Google albo Apple, na stronie logowania załaduje się ich skrypt, który działa według ich zasad. Strona płatności należy do Stripe i działa według zasad Stripe.
Aplikacja na telefon trzyma token logowania w bezpiecznym magazynie systemu (Keychain na iPhonie, Keystore na Androidzie). Plik z eksportem sprzedaży zapisuje tymczasowo, tylko do chwili udostępnienia, i kasuje przy następnym eksporcie i przy wylogowaniu.
Rozszerzenie trzyma dane opisane w punkcie 5 w pamięci rozszerzenia w przeglądarce.

12. Bezpieczeństwo

Hasła trzymamy jako skróty Argon2id; tokeny sesji, linki do logowania i kody łączenia urządzeń — tylko jako skróty SHA-256; ślady limitów — jako skróty z tajnym kluczem. Aplikacja łączy się z bazą danych jako użytkownik, który widzi wyłącznie dane zalogowanego konta; zadania w tle, logowanie, panel administracji i kasowanie kont działają z uprawnieniami, które tego ograniczenia nie mają. Połączenia z Flikki są szyfrowane. Zdjęcia udostępniamy pod podpisanymi adresami, które wygasają. Jeśli dojdzie do naruszenia ochrony twoich danych, które może poważnie na ciebie wpłynąć, powiadomimy cię o nim.

13. Zmiany tej polityki

O ważnej zmianie tej polityki napiszemy do ciebie e-mailem, zanim wejdzie w życie. Numer i datę wersji podajemy na górze.

14. Kontakt

We wszystkich sprawach dotyczących twoich danych: hey@flikki.app.