Twoje dane.
Jasne zasady.

1. Kto odpowiada za dane?

Administratorem danych jest Paweł Dzieża, twórca projektu działający pod oznaczeniem DZIEŻA DEV. Kontakt w sprawach prywatności: dzie.paw@gmail.com.

Fish ID jest rozwijany jako osobny projekt. Ta strona nie uzyskuje dostępu do kont, wpisów połowów ani danych aplikacji „Pora na Ryby”.

2. Strona internetowa i kontakt

Podczas połączenia serwer i dostawca hostingu przetwarzają dane techniczne niezbędne do wyświetlenia strony, w szczególności adres IP, czas połączenia, żądany adres i informacje przekazane przez przeglądarkę. Służy to dostarczeniu strony, wykrywaniu błędów i ochronie usługi. Podstawą jest prawnie uzasadniony interes administratora polegający na zapewnieniu działania i bezpieczeństwa serwisu — art. 6 ust. 1 lit. f RODO.

Nie stosujemy reklam, narzędzi analitycznych, profilowania ani własnych plików cookie. Grafiki i style są dostarczane z tej samej strony. Nie ma zewnętrznych fontów, osadzonych filmów, formularza, logowania ani mechanizmu przesyłania zdjęć.

Nie prowadzimy osobnego rejestru wszystkich odwiedzin w aplikacji strony. Nie oznacza to braku niezbędnych logów systemowych, błędów lub danych technicznych dostawcy hostingu. Nie służą one marketingowi.

Jeśli napiszesz e-mail, przetwarzamy adres nadawcy, treść wiadomości i przekazane przez Ciebie informacje, aby odpowiedzieć i rozwiązać sprawę. Podstawą jest uzasadniony interes administratora — art. 6 ust. 1 lit. f RODO; obsługa żądań dotyczących praw do danych może również wynikać z obowiązku prawnego — art. 6 ust. 1 lit. c RODO. Podanie informacji jest dobrowolne, lecz bez danych kontaktowych odpowiedź może nie być możliwa.

Nie wysyłaj zdjęć do treningu ani dokumentów tożsamości zwykłym e-mailem. Sam kontakt nie oznacza zgody na wykorzystanie fotografii w modelu.

3. „Jaka to ryba?” — przygotowywany pilot

Aplikacja zbierająca jest przygotowywana dla osób zaproszonych przez administratora. Logowanie kodem e-mail i wysyłka wymagają połączenia z internetem. Brak publicznej rejestracji.

Pierwszy, ograniczony pilot przewiduje najwyżej 5 zdjęć na osobę i 10 łącznie. Jego jedynym celem jest sprawdzenie szyfrowanego transportu. Zdjęcia z tej kwarantanny nie trafiają do recenzji, datasetu ani treningu. Nie działa jeszcze automatyczna kontrola treści. Szersze zbieranie pozostaje zablokowane.

Po uruchomieniu pilot obejmie adres e-mail i sesję logowania, przekazane zdjęcie i propozycję gatunku, zaakceptowaną zgodę, identyfikatory zgłoszenia, informacje o integralności i statusie oraz minimalne potwierdzenie umożliwiające wycofanie. Rejestr przyjęć zapobiega odnowieniu limitu po usunięciu zdjęcia.

Telefon ma ponownie zakodować obraz do PNG bez EXIF i GPS, a następnie zaszyfrować go przed wysłaniem. Propozycja gatunku pozostaje wewnątrz zaszyfrowanej zawartości. Supabase przechowuje szyfrogram zdjęcia i minimalne dane transportowe; osobno przetwarza e-mail i dane uwierzytelniania. Nie otrzymuje prywatnego klucza odszyfrowującego zdjęcia.

Dobrowolne przekazanie zdjęcia wymaga odrębnej, świadomej zgody i potwierdzenia praw do fotografii. Jeżeli przekazane dane mają charakter osobowy, podstawą tego przetwarzania jest art. 6 ust. 1 lit. a RODO. Niezbędne zabezpieczenia sesji, przeciwdziałanie nadużyciom i minimalny audyt służą również uzasadnionemu interesowi bezpieczeństwa — art. 6 ust. 1 lit. f RODO.

Publikacja tej polityki nie aktywuje zbierania. Wydanie aplikacji wymaga ukończenia testów bezpieczeństwa, przedstawienia pełnej zatwierdzonej zgody i sprawdzenia zgodności jej wersji. Samo przeczytanie strony nie jest udzieleniem zgody.

4. Recenzowanie i lokalny model — kolejne etapy

„Jaka to ryba? Recenzent” jest osobną przygotowywaną aplikacją. Docelowo zaproszony recenzent ma otrzymać tylko krótkotrwały, zaszyfrowany przydział do zatwierdzonego telefonu — bez autora zdjęcia, jego propozycji gatunku i ocen innych osób. Do działania potrzebne będą e-mail, dane sesji, publiczny klucz telefonu, identyfikator przydziału oraz decyzja.

Planowane zabezpieczenia obejmują blokadę sesji, odszyfrowanie obrazu w pamięci i ograniczenie zrzutów ekranu. Nie chronią przed każdym przejętym telefonem ani fotografowaniem ekranu drugim urządzeniem. Ten przepływ wymaga osobnego odbioru i nie jest częścią pilota transportowego.

Docelowy model identyfikacji ma działać lokalnie w telefonie. Trening na innych, odrębnie dopuszczonych zdjęciach będzie wymagał zatwierdzonych praw, ocen i zasad przetwarzania. Zgoda na takie dane ma obejmować również przyszłe zastosowanie komercyjne oraz tworzenie i licencjonowanie wag. Nie obejmuje publicznej publikacji zdjęć ani sprzedaży datasetu.

Wycofanie zdjęcia użytego zgodnie z prawem w przyszłym treningu może nie oznaczać automatycznego „oduczenia” już utworzonych wag; nie wyłącza to praw przysługujących na mocy RODO. W pierwszym pilocie ta sytuacja nie występuje, ponieważ jego zdjęcia nie są używane do treningu.

5. Jak długo przechowujemy dane?

Poniższe zatwierdzone limity dotyczą przygotowywanego przepływu aplikacji. Nie są terminami przechowywania zwykłych logów strony lub korespondencji.

Zdjęcia i klucze prywatne są przeznaczone do oddzielnego, szyfrowanego magazynu oraz zaszyfrowanej kopii zapasowej. Nie znajdują się w publicznym katalogu tej witryny. Wycofanie ma niezwłocznie blokować dalszy dostęp i użycie; działanie procedur usuwania, również rejestru limitu, jest bramką uruchomienia pilota.

Dane techniczne potrzebne jedynie do połączenia są przetwarzane podczas jego obsługi. Diagnostyka i zdarzenia bezpieczeństwa mogą trafić do dzienników systemowych wspólnego serwera. Nie są rejestrem wszystkich odwiedzin Fish ID. Dziennik systemowy jest rotowany według limitów zajętej przestrzeni, bez osobnego limitu wieku wpisu. Dodatkowy dziennik tekstowy ma rotację tygodniową z czterema zachowywanymi archiwami. Dlatego nie deklarujemy jednego, niepotwierdzonego terminu usuwania wszystkich logów. Nie wykorzystujemy ich do budowania profili odwiedzających. Własne logi techniczne dostawcy hostingu podlegają jego udokumentowanym zasadom.

Zwykłą korespondencję kontaktową usuwamy z kontrolowanej skrzynki, również z kosza, w ciągu 30 dni od zamknięcia sprawy, chyba że przepis prawa wymaga zachowania konkretnej wiadomości. Żądania dotyczące praw, dowody zgód i incydenty są obsługiwane odrębnie, zgodnie z właściwym celem i obowiązkami prawnymi. Termin ten dotyczy działań administratora w skrzynce; techniczne usuwanie kopii w systemach dostawcy poczty podlega jego zasadom retencji.

6. Dostawcy i odbiorcy

• Hetzner Online GmbH — hosting tej strony i techniczna obsługa jej połączeń.
• Dostawca skrzynki kontaktowej Gmail (Google) — obsługa wiadomości wysłanych dobrowolnie na adres administratora.
• Supabase — przygotowany oddzielny projekt uwierzytelniania i szyfrowanego transportu w podstawowym regionie Frankfurt (eu-central-1); nie jest silnikiem identyfikacji ryb.
• Brevo — dostarczanie transakcyjnych kodów logowania e-mail dla przygotowywanych aplikacji. Nie otrzymuje zdjęć Fish ID.
• Upoważnieni recenzenci — dopiero po uruchomieniu osobnego etapu, w granicach przypisanego zadania.

Nie sprzedajemy zdjęć i nie przekazujemy ich reklamodawcom. Korzystanie ze strony nie wysyła fotografii do żadnego z powyższych podmiotów.

Kontakt Gmail jest obsługiwany przez Google; wiadomości i dane techniczne mogą być przetwarzane poza EOG, w tym w USA. Zgodnie z zasadami transferu Google, Google LLC korzysta z certyfikacji EU–US Data Privacy Framework i decyzji o odpowiednim stopniu ochrony, a tam, gdzie wymagane są inne zabezpieczenia — ze standardowych klauzul umownych. Sposób otrzymania ich kopii wskazuje dostawca. Nie oznacza to przechowywania poczty wyłącznie w UE. Hetzner zapewnia osobno hosting strony, nie skrzynkę Gmail.

Wybór podstawowego regionu Supabase w UE nie gwarantuje, że wszystkie czynności dostawcy i jego podwykonawców odbywają się wyłącznie w EOG. Ewentualne transfery poza EOG wymagają właściwego mechanizmu z rozdziału V RODO, np. obowiązującej decyzji stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych. Informacje o stosowanych zabezpieczeniach można uzyskać od administratora. Dla przyszłych aplikacji dokumentacja i umowy Supabase oraz Brevo wymagają sprawdzenia przed aktywacją ich przepływów. Nie jest to odroczenie obowiązków administratora dotyczących obecnego hostingu i kontaktu.

Dokumentacja dostawców: Hetzner, Google, Supabase, Brevo. Samo zamieszczenie tych linków nie oznacza zakończonego audytu wszystkich umów.

7. Wycofanie zgody i Twoje prawa

Napisz na dzie.paw@gmail.com. Przy zgłoszeniu dotyczącym aplikacji podaj adres użyty do zaproszenia oraz identyfikator potwierdzenia, jeśli go masz. Nie przesyłaj hasła, kodu logowania ani dokumentu tożsamości. Brak potwierdzenia nie pozbawia Cię możliwości zgłoszenia; administrator ustali niezbędny, proporcjonalny sposób weryfikacji.

Możesz wycofać zgodę w dowolnym momencie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania. Zatwierdzony proces przewiduje potwierdzenie otrzymania zgłoszenia w ciągu 2 dni oraz usunięcie kwalifikujących się kopii najpóźniej w ciągu 30 dni. Są to zobowiązania operacyjne, nie zamiennik terminów wynikających z RODO.

W zakresie i na warunkach określonych w RODO przysługują Ci prawa dostępu, sprostowania, usunięcia, ograniczenia przetwarzania i przenoszenia danych, a także sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie. Odpowiedź na żądanie następuje co do zasady w ciągu miesiąca; przedłużenie jest możliwe tylko na warunkach przewidzianych prawem i wymaga poinformowania Cię.

Możesz złożyć skargę do właściwego organu nadzorczego, w Polsce do Prezesa Urzędu Ochrony Danych Osobowych. Nie podejmujemy decyzji wywołujących wobec Ciebie skutki prawne wyłącznie na podstawie automatycznego przetwarzania.

8. Zmiany zasad

Przed nowym celem, szerszym zbieraniem, uruchomieniem recenzenta lub treningu informacja zostanie uaktualniona. Gdy będzie to wymagane, poprosimy o nową świadomą zgodę. Publikacja strony ani jej późniejsza aktualizacja nie zastępuje zgody na przekazanie fotografii.

Podstawa informacji o prawach: RODO, w szczególności art. 6, 12–13 i 15–22.

Administrator: Paweł Dzieża · DZIEŻA DEV
Kontakt: dzie.paw@gmail.com