# Informacja o prywatności aplikacji OVARIANA

> Wersja: OVA-LEGAL-APP-PRIVACY-PL-2026-10-25-r3

> Data wejścia w życie: 2026-10-25

## 1. Administrator i kontakt
Administratorem danych jest MEDAI sp. z o.o., ul. Prof. dr Mieczysława Michałowicza 12, 43-300 Bielsko-Biała, Polska, KRS 0000827308, NIP 5472217169, REGON 385526755.

Kontakt dotyczący prywatności, realizacji praw i usunięcia konta: privacy@ovariana.app.

Adres privacy@ovariana.app jest kontaktem dotyczącym prywatności i nie jest w tym dokumencie oznaczany jako kontakt Inspektora Ochrony Danych. Jeżeli MEDAI będzie zobowiązana do publikacji danych kontaktowych formalnie wyznaczonego IOD, zostaną one wskazane w aktualnej wersji informacji.

## 2. Zakres
Informacja dotyczy konta pacjentki w aplikacji web OVARIANA. Nie obejmuje odrębnego serwisu informacyjnego ovariana.app ani przyszłych usług Clinical.

Clinical, bezpośrednie udostępnianie raportów przez aplikację, research i funkcje predykcyjne pozostają wyłączone w bieżącym wydaniu.

## 3. Kategorie danych
W zależności od użytych funkcji przetwarzamy:
- dane konta: e-mail, identyfikatory konta i uwierzytelnienia, daty zdarzeń konta;
- profil i preferencje: język, strefa czasu, jednostki, formaty, wygląd, dobrowolne dane profilu;
- dane zdrowotne i mogące dotyczyć życia seksualnego: własne wpisy o objawach, bólu, krwawieniach i zadeklarowanych okresach miesiączkowania, kontekst dnia w tym informacje o antykoncepcji, pomiary, notatki, korekty i wersje;
- raporty: utrwalone migawki, zakres źródeł i kompletność;
- Plan zdrowia: terminy, etykiety, notatki i ustawienia przypomnień podane przez użytkowniczkę;
- zgody i dowody prawne: wersje dokumentów, hash, język, czas, kontekst akceptacji i wycofania;
- plan i rozliczenia: wariant Free/Plus, okresy, ceny, waluta, kraj rozliczenia, rabaty, identyfikatory transakcyjne i wymagane dane rozliczeniowe;
- korespondencję i wnioski;
- dane techniczne i bezpieczeństwa: m.in. IP, identyfikatory sesji/żądań, czas, informacje o urządzeniu/przeglądarce i zdarzenia techniczne w rzeczywistym zakresie logowania infrastruktury.

Nie wykorzystujemy danych zdrowotnych do reklamy, sprzedaży danych, trenowania modeli AI ani badań naukowych w bieżącym wydaniu.

Dane językowe obejmują wyraźnie potwierdzony język podstawowy konta, język interfejsu i język raportu. Dodatkowa wersja językowa obejmuje także identyfikator zamówienia, powiązanie z niezmienną migawką źródłową, język docelowy, status przygotowania i płatności oraz plik dodatkowej wersji. Jest to ta sama kategoria danych zdrowotnych co raport źródłowy, a nie nowy cel marketingowy.

Dane handlowe mogą obejmować kontakt i dane rozliczeniowe kupującej, identyfikatory klienta/zamówienia/subskrypcji, cenę, walutę i podatek, identyfikatory dokumentów transakcyjnych oraz zgłoszenia zwrotu, sporu i obsługi transakcji.

## 4. Cele i podstawy
Konto, uwierzytelnianie, zwykłe ustawienia i realizacja umowy: art. 6 ust. 1 lit. b RODO.

Dziennik, raporty, Plan zdrowia i inne funkcje wykorzystujące dane szczególnej kategorii: art. 6 ust. 1 lit. b wraz z wyraźną zgodą z art. 9 ust. 2 lit. a RODO.

Dowód udzielenia/wycofania zgody, realizacja praw i określone obowiązki prawne: właściwa podstawa z art. 6 ust. 1 lit. c lub f zależnie od konkretnego celu. Jeżeli minimalny dowód sam ujawnia dane szczególnej kategorii, MEDAI stosuje dodatkowo właściwy warunek art. 9; nie przechowuje całego dziennika w celu dowodowym.

Płatności i wykonanie Plus: art. 6 ust. 1 lit. b. Obowiązkowe dane podatkowe/rachunkowe: art. 6 ust. 1 lit. c.

Bezpieczeństwo, zapobieganie nadużyciom i minimalne logi techniczne: art. 6 ust. 1 lit. f po uwzględnieniu praw użytkowniczki. Zwykłe logi nie powinny zawierać treści dziennika zdrowotnego.

Realizacja dodatkowej wersji językowej wykorzystuje te same podstawy dla treści zdrowotnych co raport źródłowy. Zawarcie i realizacja jej zamówienia, rozliczenie, uprawnienie do dokumentu, odstąpienie, zwrot i obsługa transakcji mają odpowiednie podstawy umowne, obowiązku prawnego lub konkretnego uzasadnionego interesu wskazane powyżej. Zgoda zdrowotna nie jest podstawą zwykłego rozliczenia płatności.

## 5. Wyraźna zgoda zdrowotna
Release używa wersjonowanej, osobnej zgody zdrowotnej. Historyczna zgoda Preview 2026-08-1.0 nie jest automatycznie traktowana jako zgoda release.

Zgoda jest domyślnie niezaznaczona i odrębna od Regulaminu, oświadczenia 18+ oraz oświadczeń handlowych.

Wycofanie natychmiast blokuje funkcje zdrowotne oparte na zgodzie i uruchamia kontrolowany proces usuwania danych przetwarzanych wyłącznie na tej podstawie. Dziennik i raporty nie są utrzymywane aktywnie na wypadek powrotu.

Wycofanie zgody nie anuluje samo w sobie Plus, nie stanowi odstąpienia od umowy i nie usuwa automatycznie wymaganych dokumentów rozliczeniowych.

## 6. Usunięcie konta
Usunięcie konta jest odrębnym żądaniem. Proces obejmuje kontrolowane usunięcie danych zdrowotnych, zatrzymanie przyszłych odnowień i zamknięcie konta uwierzytelnienia.

Jeżeli zewnętrzny etap wymaga ponowienia, żądanie pozostaje zapisane, funkcje zdrowotne pozostają zablokowane, a użytkowniczka nie musi składać żądania ponownie.

MEDAI może zachować minimalne dane mające odrębną podstawę, w szczególności wymagane dane księgowe/podatkowe, minimalny dowód realizacji praw lub konkretny dowód roszczenia. Nie oznacza to zachowania dziennika zdrowotnego.

## 7. Wiek poniżej 18 lat
Odrębne oświadczenie 18+ jest wymagane przy rejestracji. Późniejsza wiarygodna przesłanka możliwej niepełnoletności blokuje funkcje zdrowotne i uruchamia status wymagający weryfikacji. Użytkowniczka może zgłosić błąd do oceny przez człowieka.

Dopiero potwierdzona niepełnoletność uruchamia kontrolowany proces zamknięcia. Prawa do danych, sprostowania, reklamacji i ustawowych rozliczeń pozostają dostępne.

## 8. Dostawcy i odbiorcy
W bieżącej architekturze aplikacji wykorzystywani są:
- Supabase — baza danych, uwierzytelnianie i Storage; aktualny projekt produkcyjny ma rdzeń w regionie eu-north-1;
- Vercel — hosting aplikacji i funkcje serwerowe;
- Resend / Plus Five Five, Inc. — wiadomości transakcyjne, w tym potwierdzenia konta; zwykłe wiadomości transakcyjne nie powinny zawierać danych zdrowotnych;
- Stripe — płatności, rozliczenia, portal płatniczy, funkcje podatkowe i przeciwdziałanie nadużyciom; zależnie od czynności Stripe może działać jako procesor lub odrębny administrator;
- LH.pl — odrębna infrastruktura hostingowa niezależnego, szyfrowanego rejestru usunięć; rejestr nie zawiera treści dziennika ani raportów.
- profesjonalni doradcy, księgowość i organy publiczne — wyłącznie w zakresie właściwej potrzeby i podstawy.

Bieżące wydanie nie wysyła raportów lekarzom przez Clinical. Kopia samodzielnie przekazana poza aplikacją podlega zasadom niezależnego odbiorcy.

Dla zakupów oznaczonych jako Stripe Managed Payments wykorzystywane są usługi grupy Stripe, w tym Sold through Link, LLC jako merchant of record danej transakcji. Role zależą od celu: realizacja zleconych czynności może podlegać umowie powierzenia; własne usługi Link, obsługa płatności, przeciwdziałanie nadużyciom, obowiązki MoR, podatkowe i zgodności mogą podlegać odrębnemu administrowaniu przez właściwy podmiot Stripe/Link. Informacja dostawcy: https://stripe.com/privacy.

Przekazujemy wyłącznie niezbędne, neutralne dane zamówienia: techniczne odniesienie konta i zamówienia, produkt/plan/cenę, niezbędny kontakt i dane rozliczeniowe, kwotę, walutę, podatki, identyfikatory i statusy transakcyjne. Do metadanych, opisów, potwierdzeń ani zgłoszeń handlowych Stripe/Link nie przekazujemy treści dziennika, objawów, Insights, pomiarów, notatek Planu zdrowia, treści raportu ani skrótów jego źródeł zdrowotnych. Identyfikacja zamówienia wersji językowej nie wymaga ujawnienia takich treści.

## 9. Transfery międzynarodowe
Wybrany region bazy nie oznacza, że wszystkie czynności dostawców odbywają się wyłącznie w EOG. Dostawcy mogą korzystać ze spółek i podwykonawców w innych państwach.

W przypadku transferu wymagającego zabezpieczenia stosowany jest właściwy mechanizm prawny, np. decyzja stwierdzająca odpowiedni stopień ochrony albo standardowe klauzule umowne, zależnie od przepływu.

## 10. Retencja
Dane zdrowotne utrzymywane na podstawie zgody są przetwarzane podczas korzystania z funkcji wymagających tej zgody. Po jej wycofaniu są objęte kontrolowanym usunięciem bez „okna powrotu”, chyba że w odniesieniu do konkretnego minimalnego elementu istnieje odrębna podstawa prawna.

Dowód zgody zachowujemy przez czas przetwarzania opartego na tej zgodzie. Po zakończeniu powiązanego usuwania minimalny dowód udzielenia lub wycofania zgody oraz wykonania żądania przechowujemy nie dłużej niż 3 lata, wyłącznie w zakresie koniecznym do ustalenia, dochodzenia lub obrony roszczeń. Zbędne dane usuwamy wcześniej. Dłuższe przechowywanie dotyczy tylko konkretnej, udokumentowanej sprawy, w ograniczonym zakresie i z przeglądem potrzeby. Nie zachowujemy w tym celu treści dziennika, raportów ani notatek Planu zdrowia. Dowody umowy i wymagane dokumenty rozliczeniowe podlegają własnym, odrębnym kryteriom.

Dane księgowe i podatkowe są przechowywane przez okresy wymagane właściwymi przepisami.

Dane techniczne i bezpieczeństwa są przechowywane przez minimalny okres konieczny do bezpieczeństwa, obsługi błędów i incydentów.

Supabase wykonuje dzienne kopie bazy; standardowy dostęp do codziennych kopii w używanym planie Pro obejmuje ostatnie 7 dni. Nie oznacza to, że usunięcie z aktywnej bazy natychmiast usuwa starszą kopię. Minimalny zapis techniczny w odrębnym, szyfrowanym rejestrze LH.pl pomaga zapobiec przywróceniu usuniętych danych do aktywnego przetwarzania. Obejmuje identyfikator konta, czas żądania i zakres usunięcia, bez treści dziennika lub raportów; nie jest przez to automatycznie anonimowy. Utrzymujemy go tylko przez czas niezbędny do ochrony rzeczywiście odtwarzalnych kopii, z kontrolą zakończenia usuwania i dostępnych kopii, klonów i eksportów. Nie wygaszamy go wyłącznie na podstawie wieku wpisu. Odtworzone środowisko pozostaje odizolowane do ponownego wykonania wymaganych usunięć i sprawdzenia źródłowego rejestru. Kopie bazy nie zawierają plików przechowywanych przez Storage API; ich usuwanie jest sprawdzane oddzielnie.

Opłacenie dodatkowej wersji językowej nie tworzy wyjątku od wycofania zgody, usunięcia konta ani retencji. Minimalny neutralny dowód transakcji można zachować na odrębnej podstawie; sam raport nie jest zachowywany wyłącznie do obrony płatności. Samodzielnie pobranej i przekazanej poza aplikację kopii MEDAI nie może usunąć z urządzeń niezależnych odbiorców. Stripe/Link może niezależnie zachowywać dane objęte własnymi obowiązkami prawnymi; usunięcie konta OVARIANA nie oznacza usunięcia tych zapisów.

## 11. Prawa
Na zasadach RODO przysługują prawa dostępu, kopii, sprostowania, usunięcia, ograniczenia, przenoszenia, sprzeciwu tam, gdzie ma zastosowanie, oraz wycofania zgody.

Możesz wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie, w tym przechowywania minimalnego dowodu roszczeń. Rozpatrujemy go zgodnie z art. 21 RODO.

Wnioski można kierować na privacy@ovariana.app. Przy uzasadnionych wątpliwościach co do tożsamości MEDAI może poprosić wyłącznie o dane niezbędne do bezpiecznej weryfikacji.

Można wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych albo właściwego organu nadzorczego w państwie zwykłego pobytu.

MEDAI obsługuje prawa dotyczące konta i danych zdrowotnych OVARIANA. Właściwy podmiot Stripe/Link odrębnie obsługuje dane, których jest administratorem. Gdy wniosek dotyczy obu środowisk, MEDAI koordynuje lub kieruje część transakcyjną w zakresie wymaganym i technicznie dostępnym.

## 12. Pamięć przeglądarki
Szczegóły cookies, localStorage i sessionStorage zawiera osobna Informacja o cookies i pamięci przeglądarki.

## 13. Zmiany i wejście w życie
Niniejsza wersja obowiązuje od 25 października 2026 r.