Polityka prywatności Trio Life

• Wersja polityki: 3
• Data wejścia w życie: 2026-09-28
• Dotyczy: aplikacji Trio Life na Androida (com.trio.life) od wersji 1.0.0 (54), w której konto jest wymagane na starcie, oraz serwera i paneli, z którymi aplikacja się łączy
• Poprzednia wersja: 2026-09-16
• Poprawka z 2026-10-02 (do opublikowania razem z wydaniem 1.0.0+73): sekcja 4a, wspólne gospodarstwo. Lista zakupów w aktywnej relacji uzgadnia się sama - po każdej zmianie i przy starcie aplikacji - a nie dopiero po naciśnięciu „Synchronizuj listę"; zaproszenie mailem nazywa zapraszającego jego adresem e-mail; zakresów „Jedzenie" i „Plan diety", które zapisywały zgodę i nie przesyłały niczego, nie da się już wybrać. Zakres udostępnianych danych nie rósł w tym wydaniu: była to dalej wyłącznie lista zakupów - zmienia to poprawka niżej. Czy to osobna wersja polityki - decyzja właściciela; strona /prywatnosc/ powstaje z tego pliku (scripts/build_privacy_page.py), więc musi zostać zbudowana i wdrożona razem z wydaniem.
• Druga poprawka z 2026-10-02 (do opublikowania razem z wydaniem, w którym wspólne gospodarstwo dzieli plan posiłków): sekcje 2, 3, 4, 4a, 5, 13, 15 i 16. Zakres udostępnianych danych rośnie. Obok listy zakupów wspólne gospodarstwo dzieli teraz plan posiłków: dzień, porę posiłku, kolejność w porze, nazwę pozycji, liczbę porcji, gramaturę z jednostką i odnośniki do dania (w Twojej bazie przepisów albo we wbudowanym katalogu). Nie wychodzą przepisy, zdjęcia dań, makro ani cokolwiek o zjedzonych posiłkach. Z planu idzie tylko bieżące okno planowania: od wczoraj do 14 dni w przód. Dochodzi też przesyłanie usunięć - w liście zakupów i w planie - jako ślad bez treści pozycji, trzymany 90 dni. Czy to osobna wersja polityki - decyzja właściciela (jak wyżej); stronę /prywatnosc/ trzeba zbudować z tego pliku i wdrożyć razem z wydaniem.

Co się zmieniło w wersji 3 - najważniejsze: wersja 2 mówiła, że posiłki i treningi zostają w telefonie. To było nieprawdą i tu to naprawiamy. Aplikacja od wydania 1.0.0 (54) wysyła na nasz serwer i pobiera z niego posiłki, nawodnienie, treningi i listę zakupów zalogowanego konta - automatycznie, bez pytania i bez przełącznika, którym można to wyłączyć. Opisuje to nowa sekcja 4a; zmieniliśmy przez to sekcje 2, 3, 4, 5, 15 i 16. Bez zmian zostaje to, co naprawdę zostaje na telefonie: dziennik i Mental, pomiary ciała, ankieta celów, flagi zdrowotne, zdjęcia posiłków i odczyty z zegarka.

Poza tym: kopię danych zapisujesz teraz w dowolnym miejscu wskazanym w systemowym oknie i z dowolnego miejsca ją wczytujesz (sekcja 17), doszło wspólne gospodarstwo - lista zakupów dla osoby, którą sam podłączysz, a od poprawki z 2026-10-02 także plan posiłków (sekcja 4a) - a zakres Health Connect zmalał: nie prosimy już o tętno w trakcie treningu ani o dystans, więc zniknęły też średnie tętno treningu, dystans i tempo (sekcje 10 i 19). Kalorie całkowite z zegarka są teraz widoczne na karcie „Z zegarka". Tekst z podglądu AI kopiujesz do ChatGPT albo do Claude (sekcja 8).

Co się zmieniło w wersji 2: konto stało się wymagane dla wszystkich (wcześniej było opcjonalne), sesja trwa 90 dni od ostatniego użycia (sekcja 5). Doszły reklamy Google AdMob w wersji darmowej i zgoda na nie przez formularz Google (sekcja 6), Premium jako subskrypcja w Google Play weryfikowana na naszym serwerze (sekcja 5), wspólna baza przepisów, ćwiczeń i planów z moderacją oraz komentarze (sekcja 12). Opisaliśmy też dane techniczne wysyłane przez biblioteki Google do odczytu kodów (sekcja 9), plany od trenera (sekcja 7), podstawy prawne, odbiorców, terminy przechowywania i Twoje prawa (sekcje 13-15 i 21).

1. Administrator i kontakt

• Administrator danych: Paweł Głowacz
• Publiczny e-mail ds. prywatności: pawel19307@gmail.com
• Aplikacja: Trio Life, identyfikator com.trio.life. Do 2026-09-15 aplikacja nazywała się Personal OS i była rozdawana poza sklepem pod identyfikatorem pl.personalperformance.personalos - ta polityka dotyczy obu wersji.
• Ta polityka: https://triolife.app/prywatnosc/
• Usuwanie konta bez aplikacji: https://triolife.app/usun-konto/

Nie wyznaczyliśmy inspektora ochrony danych (nie mamy takiego obowiązku). W każdej sprawie dotyczącej danych pisz na adres wyżej. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

2. Najkrótsza wersja

• Konto jest wymagane. Logujesz się adresem e-mail i hasłem. Hasła nie przechowujemy - serwer zna tylko jego jednokierunkowy skrót. Jednorazowy kod z maila potwierdza adres przy zakładaniu konta i przy ustawianiu nowego hasła.
• Posiłki, nawodnienie, treningi i lista zakupów zalogowanego konta wychodzą na nasz serwer i wracają z niego na Twój następny telefon. Dzieje się to samo, w tle, po każdym zapisie - nie ma przełącznika, którym można to wyłączyć (sekcja 4a). Zdjęć posiłków nie wysyłamy: w rekordzie zostaje tylko informacja, że zdjęcie jest.
• Dziennik i Mental, pomiary ciała, ankieta celów, flagi zdrowotne, zdjęcia i odczyty z zegarka (Health Connect) zostają w telefonie. Tych nie synchronizujemy i nie mamy do nich dostępu. Nie ma przełącznika, który by je wysłał. Jeden wyjątek dotyczy zdjęcia posiłku: jeśli sam wskażesz konkretne zdjęcie i poprosisz o rozpoznanie, to jedno zdjęcie wychodzi - po Twoim wyborze drogi i po zgodzie, która nazywa odbiorcę (sekcja 8). Samo z siebie nie wychodzi żadne.
• Wersja darmowa ma reklamy Google AdMob - na ekranie Dziś i w Jedzeniu, nigdy w Mentalu ani przy AI. Reklamy korzystają z identyfikatora reklamowego urządzenia, ale nie dostają Twoich posiłków, treningów ani dziennika. O zgodę pyta formularz Google.
• Premium to subskrypcja w Google Play (miesięczna albo roczna): bez reklam. Anulujesz ją w Google Play.
• Nie sprzedajemy danych i sami nie tworzymy Twojego profilu reklamowego.

Z telefonu wychodzą dane tylko w sytuacjach z mapy w sekcji 4. W skrócie:

1. konto - adres e-mail, hasło (tylko przy logowaniu i zmianie, przez szyfrowane połączenie) i kod z maila przy zakładaniu konta albo nowym haśle;
2. synchronizacja zalogowanego konta - posiłki, nawodnienie, treningi i lista zakupów, automatycznie i w obie strony;
3. reklamy (wersja darmowa) - identyfikator reklamowy i dane techniczne do Google;
4. zakup Premium - token zakupu z Google Play do naszego serwera;
5. wspólna baza i komentarze - to, co sam opublikujesz, pod pseudonimem;
6. wspólne gospodarstwo - lista zakupów i plan posiłków dla osoby, którą sam podłączysz;
7. trener lub dietetyk - posiłki i treningi z 28 dni, jeśli go podłączysz;
8. AI - tekst, który widzisz w podglądzie, wtedy gdy sam go wyślesz;
9. kopia danych - plik, który sam zapisujesz tam, gdzie wskażesz;
10. numer kodu kreskowego - do Open Food Facts;
11. dane techniczne bibliotek Google do odczytu kodów i etykiet - bez obrazu i bez treści.

Treść wpisów z dziennika (Mental) nie wychodzi z telefonu sama i nie idzie do nas. Ani do trenera, ani do AI, ani do reklam, ani na nasz serwer - nie ma przełącznika, który by to zmieniał, i nasza baza nie ma tabeli, która mogłaby ją przyjąć. Z Mentalu do AI mogą iść tylko liczby (oceny dni i nastrój), i tylko gdy sam zaznaczysz ten temat. Jedyna droga, którą dziennik może opuścić telefon, to plik kopii, który sam zapiszesz poza aplikacją - i dlatego ma tam osobny przełącznik (sekcja 17).

3. Dane w telefonie

Wszystko, co zapisujesz w aplikacji, powstaje i leży w jej lokalnej bazie na telefonie. To ta baza jest źródłem prawdy i ona działa bez internetu. Cztery kategorie aplikacja dodatkowo trzyma na naszym serwerze, żeby wróciły na Twój następny telefon (sekcja 4a). Wszystko pozostałe zostaje wyłącznie w telefonie i nie mamy do tego dostępu.

Wychodzi na nasz serwer i wraca (sekcja 4a)

Jedzenie - posiłki: nazwa, godzina, notatka, kalorie i makroskładniki, ile procent zjadłeś, pora posiłku, samopoczucie po posiłku, składniki wpisu (nazwa, ilość, jednostka, kalorie i makro każdego) oraz informacja, że posiłek ma zdjęcie.

Nawodnienie - ilość i rodzaj napoju, godzina wpisu, kalorie napoju.

Trening - sesje: nazwa, notatka, początek i koniec, zaplanowane ćwiczenia; serie: ćwiczenie, ciężar, powtórzenia, miara, ocena wysiłku, rozgrzewka, godzina wykonania.

Lista zakupów - nazwa pozycji, ilość, jednostka, kategoria, odhaczenie i to, skąd pozycja się wzięła: nazwa dania, dzień planu albo znacznik, że pozycja powstała z brakującego składnika w spiżarni („co ugotuję z tego, co mam"). Sama zawartość spiżarni z telefonu nie wychodzi.

Zostaje wyłącznie w telefonie

Mental i dziennik - odpowiedzi porannego check-inu i wieczornego check-outu, ocena dnia, nastroje z godziną, sesje medytacji i oddechu, wdzięczność, nawyki i ich odhaczenia, ustawienia przypomnień, wpisy dziennika i szybkie notatki.

Ciało i cele - waga i obwód pasa z datą; ankieta celów: płeć, rok urodzenia, wzrost, aktywność, liczba i długość treningów, doświadczenie, cel i tempo; flagi zdrowotne, jeśli je zaznaczysz (ciąża, karmienie piersią, zaburzenia odżywiania, choroba nerek, cukrzyca, choroba serca lub nadciśnienie); cele dnia.

Zdjęcia - zdjęcia posiłków i przepisów leżą w prywatnym katalogu aplikacji. Nigdzie ich nie wysyłamy; w rekordzie posiłku na serwerze zostaje tylko informacja, że zdjęcie jest.

Z zegarka - dzienne podsumowania odczytane z Health Connect (sekcja 10).

Twoje produkty, dania i plany - własne produkty i kody kreskowe, zapamiętane wyniki wyszukiwania kodów, własne dania i przepisy, plan posiłków i szablony, pory posiłków, alergeny, ulubione, własne napoje, mikroskładniki, post. Jeden wyjątek dotyczy planu posiłków: jeśli masz aktywne wspólne gospodarstwo z zakresem „Plan posiłków", z bieżącego okna planowania wychodzą same pozycje planu - bez przepisów i bez zdjęć dań (sekcja 4a).

Trening poza samymi sesjami - własne ćwiczenia i plany, preferencje miar, zgłoszenia objawów (np. ból pleców), ulubione.

AI - historia pytań: domyślnie same metadane, treść odpowiedzi tylko po włączeniu (sekcja 8).

Trener - połączenia i ich zakres, historia zgód, wiadomości czatu i plany od trenera (także przyjęte).

Wspólna baza - kopia opublikowanych przepisów, ćwiczeń i planów do przeglądania bez internetu, Twoje serduszka i stan Twoich zgłoszeń.

Konto - token sesji w magazynie chronionym przez system (Android Keystore) i kopia stanu konta (identyfikator, adres, termin sesji, Premium), żeby aplikacja działała bez internetu.

Reklamy - Twoja decyzja z formularza zgody, zapisana przez bibliotekę Google.

Notatki, dziennik i flagi zdrowotne mogą zawierać informacje o Twoim zdrowiu. Nie wpisuj tam danych innych osób.

4. Co wychodzi z telefonu - mapa

Poza tą tabelą aplikacja nie wysyła Twoich danych. Nie dodaliśmy własnej analityki ani narzędzi do raportów o awariach. Health Connect, zapisanie kopii danych i wbudowane bazy działają bez sieci. Zdjęcia posiłków też - poza rozpoznaniem, o które poprosisz sam (wiersz wyżej, sekcja 8). Aplikacja pobiera z naszego serwera publiczną listę wspólnej bazy - to pobieranie cudzych publikacji, nie wysyłanie Twoich danych.

4a. Synchronizacja konta - to, co wychodzi samo

To jedyna droga z sekcji 4, która nie wymaga Twojego działania i której nie da się wyłączyć w aplikacji. Opisujemy ją osobno, bo to najważniejsza rzecz, jaką trzeba o Trio Life wiedzieć.

Co i kiedy

Po każdym zapisie posiłku, wpisu nawodnienia, treningu albo pozycji z listy zakupów aplikacja odkłada ten rekord do kolejki w telefonie i - jeśli jesteś zalogowany i jest internet - wysyła go na nasz serwer. Przy starcie aplikacji i po każdej zmianie zalogowania robi to samo w drugą stronę: pobiera z serwera rekordy tego konta i zapisuje je w telefonie. Dzięki temu Twoje posiłki i treningi wracają po zmianie telefonu i po przeinstalowaniu aplikacji.

Te same rekordy pobiera każde urządzenie zalogowane na Twoje konto - o tym, kto je widzi, decyduje więc to, kto zna Twoje hasło.

Usunięcie wpisu w telefonie też jedzie na serwer: serwer kasuje wtedy jego treść, a zostawia sam ślad - identyfikator rekordu, dzień i czas usunięcia. Ślad jest potrzebny, żeby Twoje pozostałe telefony też usunęły ten wpis.

Rekordów nie usuwamy po czasie - leżą u nas, dopóki nie usuniesz wpisu albo konta (sekcja 15).

Bez internetu rekord czeka w kolejce w telefonie i idzie później. Dopóki nie jesteś zalogowany, nic nie wychodzi - ale konto jest wymagane (sekcja 5), więc w normalnym użyciu ten stan nie trwa długo.

Co dokładnie jest w rekordzie

• Posiłek: godzina, nazwa, notatka, kalorie, białko, węglowodany, tłuszcz, pora posiłku, ile procent zjadłeś, czy wpis jest pełny, samopoczucie po posiłku, informacja, że posiłek ma zdjęcie, oraz składniki wpisu (nazwa, ilość, jednostka, kalorie i makro każdego).
• Nawodnienie: godzina, nazwa napoju, ilość w mililitrach, kalorie.
• Trening: nazwa sesji, notatka, początek i koniec, zaplanowane ćwiczenia, a w każdej serii: ćwiczenie, ciężar, powtórzenia, miara, ocena wysiłku, rozgrzewka i godzina wykonania.
• Lista zakupów: nazwa pozycji, ilość, jednostka, kategoria, odhaczenie, skąd pozycja się wzięła: nazwa dania, dzień planu albo znacznik, że pozycja powstała z brakującego składnika w spiżarni. Spiżarnia sama nie jedzie - ani tu, ani w kopii danych.
• Losowy identyfikator telefonu, nadany przez aplikację przy pierwszej synchronizacji, i numer porządkowy zmiany. Nie jest to identyfikator urządzenia nadany przez Androida.

Zdjęcia posiłków nie wychodzą. W rekordzie jest tylko informacja, że zdjęcie istnieje.

Nie wychodzą tą drogą: dziennik i Mental, pomiary ciała, ankieta celów, flagi zdrowotne, cele dnia, dane z Health Connect, Twoje produkty, dania i przepisy, plan posiłków, własne ćwiczenia, zgłoszenia objawów, nawyki i historia AI. Plan posiłków ma osobną, dobrowolną drogę we wspólnym gospodarstwie - opisuje ją kolejna część tej sekcji.

Dlaczego nie ma przełącznika

Tak to zaprojektowaliśmy (ADR 0019): baza konta jest kanonicznym zapisem dla Jedzenia, Treningu i listy zakupów, a baza w telefonie jest jej kopią do pracy bez internetu. Nie umiemy dziś wyłączyć wysyłki bez wyłączenia samej funkcji. Jeśli nie chcesz, żeby te dane były u nas - nie zapisuj ich w Trio Life. Możesz je usunąć: usunięcie wpisu w telefonie usuwa go także na serwerze, a usunięcie konta usuwa całą kopię (sekcja 16).

Kto po naszej stronie to widzi

Nikt tego nie przegląda. Panel administracyjny i panel moderacji nie mają ekranu z posiłkami, treningami ani listą zakupów (sekcja 5) - rekordy leżą w bazie i serwer oddaje je tylko zalogowanemu kontu, do którego należą. Administrator ma jednak techniczny dostęp do bazy serwera, więc nie twierdzimy, że są dla nas nieczytelne: nie są zaszyfrowane end-to-end.

Wspólne gospodarstwo - lista zakupów i plan posiłków dla kogoś bliskiego

To osobna, dobrowolna funkcja (Ustawienia → Wspólne gospodarstwo). Zapraszasz konkretną osobę jej adresem e-mail i wybierasz zakres: listę zakupów, plan posiłków albo oba. W nowym zaproszeniu oba są zaznaczone - odznacz to, czego nie chcesz dzielić.

• Do nas idzie adres e-mail tej osoby i nazwa, jeśli ją podasz. Nasz serwer wysyła na ten adres maila z zaproszeniem - to jedyny mail, który wysyłamy do kogoś innego niż Ty. Podawaj tylko adres osoby, która wie, że to robisz.
• Zaproszenie nazywa Ciebie: zawiera adres e-mail Twojego konta (od 1.0.0+73). Bez tego druga strona miała zgodzić się na dzielenie danych z kimś, kogo wiadomość nie nazywała. Ten sam adres widzi potem na ekranie wspólnego gospodarstwa, razem z informacją, kto kogo zaprosił.
• Osoba musi mieć konto Trio Life na tym adresie i przyjąć zaproszenie. Dopóki tego nie zrobi, nie wychodzi ani lista zakupów, ani plan posiłków.
• Dzielimy dwa zbiory: listę zakupów i plan posiłków. Z planu wychodzi dzień, pora posiłku, kolejność w porze, nazwa pozycji, liczba porcji, gramatura z jednostką i odnośnik do dania - w Twojej bazie przepisów albo we wbudowanym katalogu. Nie wychodzą przepisy, czyli skład dania, ani zdjęcia dań. Makro też nie jedzie: druga osoba widzi nazwę pozycji, a przy daniu, które jest tylko w Twojej bazie przepisów, czyta wprost „danie jest u drugiej osoby - makro tylko u niej". Nic o zjedzonych posiłkach nie wychodzi - odhaczenie „zjadłem" jest faktem lokalnym i zostaje w telefonie. Z planu idzie tylko bieżące okno planowania: od wczoraj do 14 dni w przód; starszy plan zostaje w telefonie i nie wychodzi.
• Czego nie da się tu udostępnić. Zjedzonych posiłków, dziennika, Mentalu, zdjęć ani pomiarów. Zakresu „Jedzenie" nie da się nawet wybrać w zaproszeniu (do 1.0.0+72 pola „Jedzenie" i „Plan diety" były widoczne, zapisywały zgodę i nie przesyłały niczego; plan posiłków dostał swoją drogę i wrócił do wyboru, „Jedzenie" nie). Relacja zawarta wcześniej z zakresem, który niczego nie przesyła, zostaje opisana tak, jak jest: ekran mówi przy niej wprost, że ten zakres niczego nie przesyła.
• Po przyjęciu zaproszenia lista i plan uzgadniają się same - po każdej zmianie i przy starcie aplikacji, tak samo jak zwykła synchronizacja Twojego konta (do 1.0.0+72 trzeba było nacisnąć „Synchronizuj listę"; przycisk został, ale nie jest już jedyną drogą). Druga strona widzi pozycje listy razem z nazwami dań i dniem planu, z których powstały, oraz pozycje planu z bieżącego okna. Dzieje się to tylko w relacji, którą sam zawarłeś i która jest aktywna.
• Usunięcie pozycji też dochodzi do drugiej osoby - w liście zakupów i w planie. Obok pozycji jedzie wtedy ślad usunięcia: identyfikator pozycji, numer wersji i data usunięcia, bez treści pozycji. Dzięki temu pozycja skasowana u jednej osoby znika u drugiej, a nie wraca przy następnym uzgodnieniu. Ślady żyją 90 dni - w telefonie i w naszej bazie - a potem znikają; naszą kopię sprząta kolejne uzgodnienie w tej relacji. Po tym samym czasie serwer usuwa też kopię wiersza planu, której nikt nie tknął od 90 dni; kopie w telefonach obu osób zostają.
• Dostęp odbierasz przyciskiem „Cofnij dostęp". Druga strona natychmiast przestaje cokolwiek widzieć, a obie kopie - listy zakupów i planu posiłków - znikają wtedy z naszej bazy, bez czekania na usunięcie konta. Twoja własna lista zakupów i Twój plan zostają w telefonie, a lista zakupów dalej jest w zwykłej synchronizacji Twojego konta (sekcja 4a).
• Pozycje dopisane przez drugą stronę stają się po uzgodnieniu Twoimi pozycjami w telefonie. Pozycje listy zakupów wchodzą wtedy do Twojej zwykłej synchronizacji konta; pozycje planu zostają w telefonie, bo plan posiłków nie jedzie z kontem.

5. Konto i Premium

Konto jest wymagane

Po samouczku logujesz się - bez konta nie da się przejść dalej. Po zalogowaniu aplikacja działa także bez internetu.

Konto to tożsamość, ale trzyma też część Twoich danych. Po zalogowaniu posiłki, nawodnienie, treningi i lista zakupów idą na nasz serwer i wracają z niego na kolejny telefon (sekcja 4a). Wylogowanie niczego nie kasuje - ani w telefonie, ani u nas.

Wszystko pozostałe - dziennik i Mental, pomiary ciała, ankieta celów, flagi zdrowotne, zdjęcia, odczyty z zegarka, Twoje produkty, dania i przepisy, plan posiłków, własne ćwiczenia, nawyki - jest tylko w tym telefonie. Przeinstalowanie aplikacji albo zmiana telefonu oznacza utratę tych danych; konto ich nie przywróci. Dlatego jest kopia danych (sekcja 17).

Jak się logujesz

Logujesz się adresem e-mail i hasłem. Hasło wybierasz sam - co najmniej 8 znaków, bez wymogu cyfr czy znaków specjalnych; odrzucamy tylko hasło równe adresowi i hasła z listy najpopularniejszych. Hasła nie zapisujemy: serwer trzyma wyłącznie jego jednokierunkowy skrót (scrypt, z losową solą), z którego hasła nie da się odtworzyć - ani nam, ani nikomu z kopii bazy. Hasło nie trafia do logów.

Kod z maila służy tylko do potwierdzenia adresu: przy zakładaniu konta i przy ustawianiu nowego hasła (zapomniane hasło). Samym kodem nie da się zalogować. Konto założone dawniej bez hasła musi raz ustawić hasło - aplikacja pokazuje wtedy ekran „Ustaw hasło" (kod na adres konta), a do tego czasu serwer nie wykonuje dla tego konta niczego poza odczytem konta, ustawieniem hasła, wylogowaniem i usunięciem konta. Dane na telefonie się przy tym nie zmieniają. Wysyłamy sześciocyfrowy kod z naszej skrzynki pocztowej (nadawca „Trio Life"); mail widzi też Twój dostawca poczty. Kod jest jednorazowy, ważny 10 minut, ma 5 prób i działa tylko najnowszy. Na jeden adres wysyłamy najwyżej jeden kod na minutę i pięć na godzinę. Ustawienie nowego hasła kodem i zmiana hasła wylogowują Twoje konto na innych telefonach (ustawienie hasła dla konta sprzed haseł zostawia zalogowany telefon, na którym to robisz).

Ochrona przed zgadywaniem: po 10 nieudanych próbach logowanie na dany adres jest wstrzymane na 15 minut, a z jednej sieci przyjmujemy ograniczoną liczbę nieudanych logowań na godzinę. Odpowiedź serwera na złe hasło i na nieznany adres jest taka sama, więc nie da się nią sprawdzić, kto używa aplikacji. Nie ma logowania przez Google czy Facebooka.

Co zapisujemy na serwerze

Nie zapisujemy: imienia, nazwiska, zdjęcia profilowego, daty urodzenia, płci, numeru telefonu, identyfikatora reklamowego ani identyfikatora urządzenia nadanego przez Androida. Adresu e-mail i adresu IP nie wypisujemy do logów.

Na serwerze nie ma w ogóle miejsca na: dziennik i Mental (check-in, check-out, ocena dnia, nastroje, wdzięczność, medytacje, nawyki), pomiary ciała, ankietę celów, flagi zdrowotne, odczyty z Health Connect ani zdjęcia posiłków. To nie jest ustawienie, które można przestawić - w bazie serwera po prostu nie istnieją tabele, które mogłyby te dane przyjąć, a w module udostępniania trenerowi osobny filtr odrzuca paczkę z polami dziennika.

Sesja

Sesja trwa 90 dni od ostatniego użycia: gdy korzystasz z aplikacji z internetem, serwer przesuwa termin (najwyżej raz na dobę). Sesja nieużywana przez 90 dni wygasa - wtedy logujesz się ponownie, a dane w telefonie zostają bez zmian. Każdy telefon ma osobną sesję. Token leży w magazynie chronionym przez Android Keystore, poza kopią zapasową.

Premium

Premium to subskrypcja w Google Play: miesięczna albo roczna. Wyłącza reklamy i daje dostęp do analizy naszym modelem, gdy ta działa (sekcja 8).

• Płatność obsługuje Google Play. Nie widzimy danych karty, adresu rozliczeniowego ani historii płatności.
• Przy zakupie aplikacja przekazuje Google Play losowy identyfikator Twojego konta (bez adresu e-mail), a potem wysyła na nasz serwer token zakupu. Serwer sprawdza go w Google Play Developer API i zapisuje produkt, stan subskrypcji i termin. O odnowieniach, anulowaniu i zwrotach Google Play powiadamia nasz serwer (przez usługę Google Cloud Pub/Sub).
• Jeden zakup należy do jednego konta. „Przywróć zakupy" przypina zakup do konta, na którym jesteś zalogowany.
• Subskrypcję anulujesz w Google Play (Sklep Play → Płatności i subskrypcje → Subskrypcje albo w aplikacji: „Zarządzaj w Google Play"). Usunięcie konta w Trio Life nie anuluje subskrypcji.
• Premium może też ręcznie przyznać administrator - na przykład za aktywne publikowanie we wspólnej bazie.

Kto po naszej stronie widzi konto

Administrator (sekcja 1) w panelu administracyjnym widzi listę kont: adres e-mail, sposób logowania, datę założenia i ostatniego użycia, termin Premium i stan subskrypcji (bez tokenu zakupu), a na liście aktywnych autorów także pseudonim, adres e-mail i liczbę publikacji. Moderator wspólnej bazy widzi pseudonim i identyfikator konta, nie adres e-mail.

Panele nie mają ekranu z Twoimi posiłkami, treningami ani listą zakupów - rekordy synchronizacji serwer oddaje tylko zalogowanemu kontu, do którego należą, i trenerowi w zakresie, na który sam się zgodzisz (sekcja 7). Pomiarów ciała, dziennika i danych z zegarka nie ma na serwerze wcale. Nie twierdzimy natomiast, że rekordy synchronizacji są dla nas nieczytelne: administrator ma techniczny dostęp do bazy serwera i te dane nie są zaszyfrowane end-to-end.

Wylogowanie i usunięcie konta opisuje sekcja 16.

6. Reklamy w wersji darmowej

• Konta bez Premium widzą baner Google AdMob podpisany „Reklama": na dole ekranu Dziś, pod posiłkami w Jedzeniu i na liście dań.
• Reklam nie ma w Mentalu i dzienniku, przy pomocy w kryzysie, w odpowiedziach AI, w prywatności i ustawieniach, w samouczku i przy logowaniu, przy aparacie i skanerze ani w rozmowie z trenerem. Premium nie ma reklam wcale.
• Zgoda. Zanim pojawi się pierwsza reklama, biblioteka zgód Google (User Messaging Platform) sprawdza, czy zgoda jest potrzebna - w Europejskim Obszarze Gospodarczym pokazuje formularz Google. Nie pokazujemy go w samouczku ani przy logowaniu. Bez zgody reklama się nie wyświetli albo będzie niedopasowana do Ciebie. Decyzję zmienisz w Ustawienia → Prywatność i dane → Ustawienia prywatności reklam.
• Co dostaje Google. Według informacji Google biblioteka reklamowa wysyła: adres IP (służy też do określenia przybliżonej lokalizacji), identyfikator reklamowy Androida i identyfikator zestawu aplikacji, dane o urządzeniu i aplikacji, interakcje z reklamami (wyświetlenia, kliknięcia) i dane diagnostyczne. Google używa ich do wyświetlania i pomiaru reklam, statystyk i ochrony przed oszustwami - jako odrębny administrator, na zasadach polityki prywatności Google i opisu wykorzystania danych z aplikacji partnerów.
• Czego Google nie dostaje: posiłków, treningów, pomiarów, dziennika, danych z Health Connect, adresu e-mail ani identyfikatora konta. Nie kierujemy reklam na podstawie danych o zdrowiu.
• Identyfikator reklamowy zresetujesz albo usuniesz w ustawieniach Androida (Prywatność → Reklamy).

7. Trener lub dietetyk („Prowadzenie", „Kto mnie widzi")

Moduł jest opcjonalny i domyślnie wyłączony. Znajdziesz go w Ustawienia → Prowadzenie.

Co się dzieje po podłączeniu

• Podłączasz konkretną osobę: wpisujesz kod od trenera albo zapisujesz zaproszenie na jego adres e-mail. Zaproszenia nie wysyłamy mailem - daj trenerowi znać sam. Dopóki trener go nie przyjmie, nic nie wychodzi z telefonu.
• Kod dostajesz bezpośrednio od trenera, więc wiesz, komu go wpisujesz. Adres e-mail i nazwę trenera pokazujemy w „Kto mnie widzi" zaraz po połączeniu - jeśli to nie ta osoba, jednym przyciskiem odbierasz dostęp, a kopia danych u trenera znika.
• Zakres wybierasz Ty: Jedzenie, Trening albo oba (co najmniej jedno) - nic nie jest zaznaczone za Ciebie. Kod mówi tylko, do kogo trafią dane.
• Wyraźna zgoda: przycisk działa dopiero po zaznaczeniu pola „Zgadzam się na udostępnianie tych danych o zdrowiu wybranemu trenerowi. Mogę to w każdej chwili wycofać." Dodanie zakresu później wymaga tej samej zgody. Zapisujemy wersję treści zgody i jej datę (w telefonie i przy połączeniu na serwerze); datę widać w „Kto mnie widzi".

• Telefon wysyła migawkę z ostatnich 28 dni, zastępując poprzednią:

  • Jedzenie: dzień, godzina, nazwa posiłku, notatka (jeśli jest), zjedzone kalorie i makroskładniki (jeśli są), ile procent zjadłeś, czy posiłek jest pełny, czy ma zdjęcie. Samego zdjęcia nie wysyłamy.
  • Trening: dzień, początek, czas trwania, nazwa sesji, ćwiczenia, powtórzenia, ciężar, rozgrzewka, ocena wysiłku, objętość.

• Trenerowi nie wysyłamy: dziennika, nastrojów, samopoczucia po posiłku, nawyków, snu i tętna z zegarka, pomiarów ciała, ankiety celów i flag zdrowotnych, zdjęć, Twojego adresu e-mail ani identyfikatora konta. Serwer dodatkowo odrzuca paczkę, w której pojawiłyby się pola dziennika. (Migawka dla trenera to osobna kopia. Posiłki i treningi są u nas także bez trenera - przez synchronizację konta z sekcji 4a; trener widzi tylko tę migawkę, nie Twoje rekordy synchronizacji.)

• Czat: trener i Ty możecie do siebie pisać (do 2000 znaków na wiadomość). Wiadomości leżą na serwerze do rozłączenia albo wygaśnięcia połączenia.
• Plany od trenera: trener może wysłać plan diety (do 14 dni) albo treningu (do 7 dni) - tylko w zakresie, który mu dałeś. Nic nie zapisuje się w Twoim planie bez przyjęcia. Przyjęcie i odrzucenie trafiają na serwer z datą. Przyjęty plan jest już Twoimi danymi w telefonie i zostaje po rozłączeniu.
• Trener nie może edytować Twoich posiłków ani treningów, rozszerzyć sobie zakresu ani widzieć danych na żywo - widzi ostatnią migawkę z datą.
• Panel nie pokazuje trenerowi Twojego adresu e-mail ani identyfikatora konta. Widzi skrócony identyfikator połączenia.
• Każda zmiana zgody zostawia wpis w historii zgód w Twoim telefonie.

Zgoda

Dane o jedzeniu i treningu mogą ujawniać informacje o zdrowiu, dlatego przesyłamy je trenerowi wyłącznie na podstawie Twojej wyraźnej zgody (art. 9 ust. 2 lit. a RODO). Wyrażasz ją, wybierając zakres i potwierdzając podłączenie na ekranie, który mówi, kto zobaczy dane, jakie i na jak długo. Zmiana zakresu (np. dodanie Treningu) to nowa zgoda. Wycofujesz ją rozłączeniem, w każdej chwili; wycofanie nie zmienia zgodności z prawem tego, co wysłano wcześniej. Dziennik nie jest objęty zgodą i nie może zostać wysłany.

Termin: trzydzieści dni

Połączenie trwa 30 dni od chwili, w której dostęp naprawdę się zaczyna - od wpisania kodu albo od przyjęcia zaproszenia. Nieprzyjęte zaproszenie gaśnie 30 dni od zapisania. Po terminie:

1. trener natychmiast przestaje cokolwiek widzieć;
2. migawka, czat i nierozstrzygnięte plany zostają usunięte z serwera (najpóźniej w ciągu godziny).

Termin nie przedłuża się sam - żeby trener widział dane dłużej, podłączasz go ponownie. Rozłączyć możesz się w każdej chwili, także bez internetu (prośba dojdzie do serwera po odzyskaniu zasięgu). „Usuń wszystkie dane" i usunięcie konta też rozłączają trenerów.

Kto jest po drugiej stronie

Trener loguje się do panelu jednorazowym linkiem z maila. Dane, które mu udostępniasz, wykorzystuje na własną odpowiedzialność, w ramach usługi, którą Ci świadczy - jest ich odrębnym administratorem. Nie prowadzimy katalogu trenerów, nie weryfikujemy ich kwalifikacji i nie odpowiadamy za ich zalecenia, także za plany diety i treningu. To, co trener przepisze poza panel, jest już poza naszym systemem - usunięcie kopii po naszej stronie tego nie obejmuje.

8. AI: pytania o Twoje dane

W aplikacji (przycisk „AI") możesz zadać pytanie o swoje dane - np. „Dlaczego nie chudnę?" - wybrać okres (7, 14 albo 28 dni) i zaznaczyć, co AI ma zobaczyć.

Zawsze: Ty wybierasz i widzisz tekst przed wysłaniem

• Tematy: Jedzenie, Waga i bilans, Trening, Sen i ruch (z zegarka: sen, kroki, tętno spoczynkowe), Mental · oceny (liczby: oceny dni i średni nastrój), Nawyki (nazwy nawyków i ile dni odhaczono), Kontekst: profil i cel (płeć, wiek, wzrost, cel, tempo, treningi z ankiety). Profil i nawyki nie są zaznaczone domyślnie, a wybór nie jest pamiętany.
• Mental · treść wpisów jest widoczny, ale zablokowany: treści wpisów z dziennika nie wysyłamy nigdzie.
• Możesz dopisać własne słowa („Jak się dziś czujesz?", własne pytanie) - do 500 znaków.
• Flag zdrowotnych z ankiety (np. ciąża, zaburzenia odżywiania) nie wysyłamy. Tekst zawiera tylko ogólny sygnał ostrożności („ryzyko niedoboru: tak/nie"), który każe modelowi nie podawać celów kalorycznych - bez nazwy przyczyny, gdy wynika z ankiety.
• Tekst powstaje na telefonie. W podglądzie widzisz dokładnie to, co pójdzie dalej, i możesz usuwać linie z danymi.
• Telefon sprawdza offline, czy w Twoich słowach nie ma sygnałów kryzysu, i wtedy pokazuje numery pomocy. To sprawdzenie niczego nie wysyła.

Droga pierwsza: skopiuj albo otwórz w ChatGPT

Aplikacja wkłada tekst do schowka („Kopiuj do ChatGPT / Claude") - nic nie wychodzi z telefonu, dopóki sam go gdzieś nie wkleisz. Gdzie go wkleisz, to Twoja decyzja i zasady tamtej usługi; odpowiedź możesz wkleić z powrotem do aplikacji, żeby zrobiła z niej karty w telefonie. Przycisk „Otwórz w ChatGPT" otwiera przeglądarkę z tekstem w adresie strony: tekst trafia wtedy do OpenAI na Twoim własnym koncie ChatGPT i na jego zasadach, a adres zostaje w historii przeglądarki - dlatego ten przycisk znika, gdy dopiszesz własne słowa. Nasz serwer w tej drodze nie uczestniczy.

Droga druga: zapytaj nasz model (Premium) - i Ty wybierasz, kto policzy

Ta droga działa tylko wtedy, gdy włączymy ją na serwerze. W dniu wejścia w życie tej wersji polityki jest wyłączona - przycisk „Zapytaj nasz model" się wtedy nie pokazuje. Gdy jest włączona, aplikacja pokazuje listę dróg, między którymi wybierasz, i przy każdej pisze, kto przetworzy tekst i w jakim kraju. Droga, której w danej chwili nie ma, zostaje na liście z powodem („komputer z modelem jest wyłączony", „ten serwer nie ma tej drogi").

Dziś są dwa warianty:

A. Model na komputerze administratora (wariant lokalny). Tekst z podglądu idzie na nasz serwer, a z serwera - prywatnym kanałem - na komputer administratora danych w Polsce, gdzie odpowiedź liczy model językowy z rodziny Qwen. Żadna firma trzecia go nie dostaje, tekst nie opuszcza Europejskiego Obszaru Gospodarczego, a model nie uczy się na Twoich danych. Do logów nie trafia ani pytanie, ani odpowiedź, ani treść błędu z modelu.

B. Dostawca zewnętrzny (dziś: OpenAI, USA). Tekst z podglądu idzie na nasz serwer, a serwer przekazuje go narzędziu Codex firmy OpenAI, które przygotowuje odpowiedź modelem językowym OpenAI. Do OpenAI trafia sam tekst - bez adresu e-mail i identyfikatora konta. OpenAI przetwarza go jako nasz podmiot przetwarzający, na serwerach w USA (sekcja 14). Ten wariant włączymy wyłącznie na firmowym dostępie OpenAI (API) z umową powierzenia, na którym OpenAI nie używa danych do trenowania modeli i przechowuje je najwyżej 30 dni wyłącznie w celu wykrywania nadużyć.

Reguły wspólne dla obu wariantów:

• wymaga konta z Premium; limit to jedna analiza na 24 godziny na konto;
• na naszym serwerze nie zapisujemy ani pytania, ani odpowiedzi - nie ma tabeli z historią analiz, pliku, który zostaje, ani wpisu w logach;
• zapisujemy datę ostatniej udanej analizy - bez treści - żeby pilnować limitu;
• zgoda dotyczy tej drogi, którą wybrałeś, i nazywa odbiorcę: przy wariancie lokalnym mówi o komputerze administratora w Polsce, przy zewnętrznym - o firmie i kraju (dziś: OpenAI, USA). Telefon pamięta razem ze zgodą wybraną drogę i przetwarzającego, więc:
• zgoda na model lokalny nie jest zgodą na dostawcę zewnętrznego ani odwrotnie - przy zmianie wyboru pytamy od nowa,
• gdy ten sam dostawca zacząłby przetwarzać w innym kraju, też pytamy od nowa,
• zgodę wycofasz w hubie AI albo w Prywatności, gdzie widzisz, na co jest i od kiedy;
• serwer zapisuje przy liczniku analiz wersję zgody i jej datę - bez treści pytania - i szanuje wybraną drogę albo odmawia. Nie ma sytuacji, w której tekst idzie do innego odbiorcy niż ten, którego nazwała zgoda; nie ma też automatycznego „skoro komputer wyłączony, to przez chmurę";
• gdy aplikacja nie wie, kto policzyłby tekst (serwer nie odpowiada albo nie podaje przetwarzającego), nie pyta o zgodę i nic nie wysyła - pisze, że nie wiadomo, kto policzy, i proponuje sprawdzenie ponownie albo drogę pierwszą (schowek);
• mimo zgody tekst wychodzi dopiero wtedy, gdy po obejrzeniu podglądu naciśniesz „Zapytaj nasz model" - każda analiza osobno;
• zgoda na analizę nie daje nic trenerowi, a zgoda dla trenera nie wysyła niczego do modelu.

Rozpoznawanie zdjęcia posiłku (Premium)

Ta droga też działa tylko wtedy, gdy włączymy ją na serwerze, i w dniu wejścia w życie tej wersji polityki jest wyłączona. Gdy jest włączona, wygląda tak:

• Wysyłasz jedno zdjęcie, które sam wskażesz, i dopiero po naciśnięciu rozpoznania. Nic nie wychodzi samo i nie wychodzą pozostałe zdjęcia. Oryginał zostaje w telefonie - do modelu idzie zmniejszona kopia.
• Pozycja GPS, model aparatu i data z EXIF nie wychodzą z telefonu. Kopia dla modelu powstaje bez nich, a nasz serwer czyści metadane po raz drugi, zanim zdjęcie pójdzie dalej - tak samo jak przy zdjęciach publikowanych we wspólnej bazie. Dalej idzie sam obraz. Plik zapisany w telefonie zostaje ze swoimi danymi.
• Drogę wybierasz tak samo jak przy tekście i widzisz przy każdej, kto policzy i w jakim kraju. Zgoda na zdjęcie jest osobna od zgody na tekst - zgoda na wysłanie podsumowania dnia nie jest zgodą na wysłanie zdjęcia z Twojej kuchni. Zmiana wybranej drogi każe pytać od nowa.
• Wariant lokalny: zdjęcie idzie na nasz serwer, a z niego prywatnym kanałem na komputer administratora danych w Polsce. Żadna firma trzecia go nie dostaje, zdjęcie nie opuszcza Europejskiego Obszaru Gospodarczego.
• Wariant zewnętrzny (dziś: OpenAI, USA): zdjęcie idzie na nasz serwer, a serwer przekazuje je narzędziu Codex firmy OpenAI. Narzędzie przyjmuje ścieżkę do pliku, nie same bajty, więc na czas jednego żądania zdjęcie zapisuje się w katalogu tymczasowym na naszym serwerze. Katalog powstaje osobno dla tego jednego żądania, dostęp ma tylko nasz proces, a zaraz po odpowiedzi - również po błędzie i po przekroczeniu czasu - katalog znika razem z plikiem. Nie ma wiersza w bazie, wpisu w logu ani adresu do tego pliku w odpowiedzi do telefonu.
• Ani zdjęcia, ani propozycji nie zapisujemy. Zostaje data próby, żeby pilnować limitu (40 zdjęć na dobę na konto), i wersja zgody - bez treści.
• To, co wraca, jest propozycją do zatwierdzenia, nie pomiarem. Model szacuje z wyglądu, Ty poprawiasz gramaturę i makro, i dopiero wtedy zapis. Tam, gdzie model nie ocenił wagi, aplikacja to napisze, a nie wstawi liczbę. Szacunki wagi i makro ze zdjęcia mylą się często i wyraźnie.

Historia AI w telefonie

Ekran „Historia AI" działa wyłącznie na Twoim telefonie - historia nie trafia na nasz serwer ani do trenera.

• Domyślnie zapisujemy same metadane: jakie pytanie z listy, z jakich tematów i okresu, którą drogą i kiedy. Treści pytania ani Twoich danych nie zapisujemy.
• Treść odpowiedzi zapisujemy tylko wtedy, gdy sam włączysz „Zapisuj treść odpowiedzi". Wyłączenie usuwa też treści zapisane wcześniej.
• Wpisy starsze niż 30 dni aplikacja usuwa sama. Całą historię usuwasz przyciskiem „Usuń historię" albo razem z resztą danych.

Analiza nie jest diagnozą ani poradą medyczną. Model odpowiada na podstawie tego, co mu podałeś, i może się mylić.

9. Skanowanie kodów kreskowych i etykiet

Kod kreskowy. Gdy zeskanujesz kod, którego nie ma w Twojej bazie ani wśród zapamiętanych wyników, aplikacja pyta o niego publiczną bazę Open Food Facts. Wychodzi sam numer kodu - bez posiłków, celów, notatek, konta i identyfikatorów urządzenia. Jak każdy serwer w internecie, Open Food Facts widzi przy tym adres IP telefonu. Odpowiedź zapisuje się w telefonie, więc kolejny skan działa bez internetu.

Etykieta. Zdjęcie tabeli wartości odżywczych jest odczytywane na telefonie i kasowane zaraz po odczycie. Nigdzie go nie wysyłamy.

Obraz z kamery służy tylko do odczytania kodu lub tekstu i nie jest zapisywany.

Biblioteki Google (ML Kit). Odczyt kodów i tekstu wykonują biblioteki Google z modelami wbudowanymi w aplikację. Google zbiera przy tym dane techniczne o ich działaniu: producent i model telefonu, wersja systemu i aplikacji, dostępne akceleratory, identyfikator instalacji (nie służy do rozpoznania osoby ani urządzenia), czasy działania, format obrazu, kody błędów. Obraz, odczytany kod i tekst etykiety nie są częścią tych danych. Google wykorzystuje je do diagnostyki i statystyk działania bibliotek (opis Google). Nie mamy do nich dostępu; jeśli nie chcesz ich przekazywać, wpisuj produkty ręcznie.

10. Health Connect - tylko odczyt

Jeśli wyrazisz zgodę, aplikacja czyta z Health Connect (tam trafiają dane z Samsung Health i zegarka) sześć rodzajów danych: sen, tętno spoczynkowe, kroki, sesje treningów, kalorie aktywne i kalorie całkowite. Wszystkie widać na karcie „Z zegarka" i na ekranie Dziś. Bez zgody na kalorie całkowite biblioteka Health Connect nie oddaje w ogóle treningów z zegarka - dlatego o nie prosimy.

Nie prosimy o tętno w trakcie treningu ani o dystans. Google uznał je we wrześniu 2026 za wykraczające poza minimalny potrzebny zakres, więc usunęliśmy je razem z funkcjami, które z nich żyły: średnim tętnem treningu, dystansem i tempem. Tętno spoczynkowe to inny rodzaj danych i zostaje.

• Aplikacja niczego nie zapisuje do Health Connect ani Samsung Health.
• Dzienne podsumowania (sen, tętno spoczynkowe, kroki, minuty treningu, kalorie aktywne i całkowite) zapisuje w telefonie, żeby pokazać historię i działać offline. Na nasz serwer nie idą - synchronizacja konta (sekcja 4a) ich nie obejmuje i nie ma przełącznika, który by je wysłał.
• Dane z Health Connect nie trafiają do trenera ani do reklam. Do AI idą tylko wtedy, gdy przy pytaniu zaznaczysz „Sen i ruch", i tylko jako podsumowania: sen (średnia i długość nocy w okresie), kroki (średnia i zmiana), tętno spoczynkowe (średnia z 7 i 28 dni). Każdą linię możesz usunąć w podglądzie.
• Nie sprzedajemy tych danych i nie przekazujemy ich pośrednikom danych.
• Ekran „Diagnostyka" pokazuje, co Health Connect oddał aplikacji; raport wychodzi z telefonu tylko wtedy, gdy sam go skopiujesz.

Odmowa zgody nie psuje żadnej funkcji - karta po prostu znika. Zgodę cofasz w ustawieniach Health Connect.

11. Wbudowane bazy

Aplikacja ma w sobie bazy, w których wyszukiwanie nie wysyła niczego do sieci:

• produkty spożywcze z Open Food Facts, licencja Open Database License (ODbL);
• dania: dane.gov.pl, zbiór 2961 (CC0), USDA FoodData Central FNDDS (domena publiczna), Fineli - THL (CC BY 4.0), dania opracowane przez nas;
• zdjęcia dań z Wikimedia Commons - autorzy i licencje w aplikacji;
• ćwiczenia i zdjęcia ćwiczeń z free-exercise-db (Unlicense, domena publiczna);
• ilustracje wygenerowane przez AI: część ilustracji ćwiczeń (mają w rogu znaczek „AI", osoby na nich nie istnieją), ilustracje partii mięśni i piktogramy planów. Powstały przed wydaniem aplikacji - nie tworzymy ich z Twoich danych ani zdjęć.

Wartości w bazach są przybliżone i mogą zawierać błędy. Sprawdź je, zanim zapiszesz produkt albo danie jako swoje.

12. Wspólna baza, serduszka i komentarze

We wspólnej bazie są przepisy, ćwiczenia i plany treningowe opublikowane przez użytkowników. To jedyne miejsce, w którym Twoje treści widzą inni - dlatego nic nie wychodzi bez Twojego działania, dla każdej treści osobno.

Publikacja

• Pseudonim. Publikujesz i komentujesz pod pseudonimem, który sam ustawiasz (3-30 znaków, zmiana najwyżej 5 razy na dobę). Nie pokazujemy adresu e-mail ani identyfikatora konta. Nie używaj imienia i nazwiska ani adresu e-mail, jeśli nie chcesz, żeby były publiczne.
• Co wysyłasz: przepis - nazwę, porcje, składniki z ilością i makroskładnikami, kroki; ćwiczenie - nazwę, partię mięśni, sprzęt, miarę i instrukcję; plan - nazwę i ćwiczenia z seriami. Notatki i opis wychodzą tylko po włączeniu przełącznika na ekranie publikacji. Zdjęcie - tylko własne i tylko jeśli je dodasz. Nie wysyłamy historii jedzenia, treningów ani dziennika.
• Zdjęcie idzie szyfrowanym połączeniem, a serwer usuwa z niego metadane (EXIF, XMP, IPTC - m.in. położenie GPS, model telefonu i datę) przed zapisaniem. Zostaje tylko informacja o obrocie obrazu i profil kolorów. Plik dostaje losową nazwę; najwyżej 3 MB.
• Moderacja. Zgłoszenie widzisz Ty i moderator - nikt więcej. Moderator widzi treść, zdjęcie, pseudonim i identyfikator konta, nie adres e-mail. Po akceptacji treść jest widoczna dla wszystkich (lista publiczna nie wymaga logowania) z Twoim pseudonimem i datą. Odrzucenie przychodzi z krótkim uzasadnieniem; odrzuconą treść możesz poprawić i zgłosić ponownie albo wycofać.
• Ekran publikacji przy każdej treści mówi, że po akceptacji zobaczy ją każdy użytkownik z Twoim pseudonimem, co dokładnie wychodzi i że możesz ją wycofać.
• Wycofanie. Swoją treść wycofujesz w każdej chwili, w każdym stanie - znika z serwera razem ze zdjęciem, a z telefonów innych osób przy ich najbliższej synchronizacji.

Serduszka i Premium za aktywność

• Serduszko zapisujemy przy Twoim koncie, żeby dało się je cofnąć. Inni widzą liczbę serduszek, nie to, kto je dał.
• Administrator widzi ranking aktywnych autorów (pseudonim, adres e-mail, liczba publikacji i serduszek) i może ręcznie przyznać im Premium. Nie ma w tym automatu ani żadnego innego profilu.

Komentarze

• Pod treścią ze wspólnej bazy możesz napisać komentarz (do 500 znaków). Komentarz widzą od razu wszyscy, z Twoim pseudonimem i datą - bez moderacji wstępnej. Limit: 10 komentarzy na minutę i 60 na godzinę.
• Swój komentarz usuwasz w każdej chwili - serwer od razu kasuje jego treść.
• Cudzy komentarz możesz zgłosić (spam, obraźliwy, inne). Zgłoszenie zapisujemy przy Twoim koncie, żeby nie liczyć go dwa razy. Autor nie wie, kto zgłosił; moderator widzi tylko liczbę zgłoszeń i ich powody.
• Trzy zgłoszenia od różnych osób automatycznie ukrywają komentarz do decyzji moderatora, który go zostawia, ukrywa albo usuwa (treść jest wtedy kasowana).

Treści niezgodne z prawem i usunięcie konta

• Komentarz zgłaszasz przyciskiem w aplikacji. Publikację albo cokolwiek innego, co narusza prawo lub cudze prawa, zgłoś mailem na adres z sekcji 1.
• Nie publikuj cudzych zdjęć i przepisów bez prawa do nich, zdjęć z twarzami innych osób ani informacji o swoim zdrowiu, których nie chcesz ujawnić.
• Usunięcie konta usuwa z serwera wszystkie Twoje publikacje (we wszystkich stanach, ze zdjęciami i z komentarzami innych osób pod nimi), Twoje komentarze, zgłoszenia, serduszka i pseudonim. Po usuniętej publikacji zostaje tylko ślad: jej identyfikator, rodzaj i czas usunięcia - bez treści i bez powiązania z Tobą - żeby telefony innych osób usunęły ją ze swojej kopii.

13. Podstawy prawne

Do danych, które zostają wyłącznie w telefonie (sekcja 3), nie mamy dostępu i nie przetwarzamy ich na naszym serwerze. Poniżej to, co przetwarzamy my albo nasi dostawcy.

Dane z Jedzenia i Treningu mogą ujawniać informacje o Twoim zdrowiu. Na serwerze trzymamy je, żeby dostarczyć funkcję, z której korzystasz - powrót Twoich wpisów na kolejny telefon (art. 6 ust. 1 lit. b). Nie zbieramy dziś na to osobnej, wyraźnej zgody i nie ma przełącznika, którym można tę wysyłkę wyłączyć; mówimy o tym wprost w sekcji 4a, na ekranie Prywatność w aplikacji i tutaj. Uważamy to za brak i przy najbliższej zmianie dołożymy osobną zgodę razem z przełącznikiem. Do czasu, gdy to zrobimy: jeśli nie chcesz, żeby te dane były u nas, nie zapisuj ich w Trio Life - albo usuń je (sekcja 16).

Podanie adresu e-mail jest dobrowolne, ale bez niego nie założysz konta, a bez konta nie skorzystasz z aplikacji. Bez zgody nie podłączysz trenera ani nie zapytasz naszego modelu. Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne (art. 22). Automatyczne ukrycie komentarza po trzech zgłoszeniach czeka na decyzję człowieka, a ostrzeżenia w aplikacji (np. o zbyt niskich kaloriach) liczy telefon i są tylko informacją.

14. Kto dostaje dane

Podmioty przetwarzające (działają na nasze polecenie)

Odbiorcy, których wybierasz sam

• Trener lub dietetyk, którego podłączysz - zakres z sekcji 7.
• Osoba, którą zaprosisz do wspólnego gospodarstwa - jej adres e-mail dostaje od nas maila z zaproszeniem, a po przyjęciu widzi Twoją listę zakupów i Twój plan posiłków, w zakresie, który sam wybrałeś (sekcja 4a).
• Inni użytkownicy - Twoje opublikowane treści i komentarze z pseudonimem (sekcja 12).
• Miejsce, w którym zapiszesz kopię danych - np. Dysk Google albo folder Pobrane; plik wybierasz i umieszczasz sam (sekcja 17).
• Open Food Facts (stowarzyszenie Open Food Facts, Francja) - numer kodu kreskowego.
• Usługa, do której wkleisz tekst albo otworzysz ChatGPT - na zasadach tej usługi.

Google (odrębny administrator)

• Google AdMob i biblioteka zgód Google - reklamy w wersji darmowej (sekcja 6).
• Google Play - pobranie i aktualizacje aplikacji, płatność i subskrypcja Premium, sprawdzenie zakupu przez nasz serwer i powiadomienia o subskrypcji (przez Google Cloud Pub/Sub).
• Google ML Kit - dane techniczne bibliotek skanera (sekcja 9).

Google może przetwarzać te dane także poza Europejskim Obszarem Gospodarczym, na zasadach polityki prywatności Google.

Przekazanie poza Europejski Obszar Gospodarczy

OpenAI przetwarza tekst analizy w USA. Zabezpieczeniem są standardowe klauzule umowne przyjęte przez Komisję Europejską (art. 46 ust. 2 lit. c RODO), zawarte w umowie powierzenia przetwarzania z OpenAI, oraz dodatkowe środki: szyfrowanie w transporcie, brak użycia danych do trenowania modeli, przechowywanie najwyżej 30 dni, wysyłanie tylko tekstu, który sam zatwierdziłeś, bez identyfikatora konta i adresu e-mail. Kopię zabezpieczeń możesz otrzymać, pisząc na adres z sekcji 1.

Nie sprzedajemy danych i nie przekazujemy ich pośrednikom danych. Możemy przekazać dane organom państwa tylko wtedy, gdy wymaga tego prawo.

15. Jak długo przechowujemy

Dane trenerów - sekcja 22.

16. Usuwanie: konto a dane

To są różne czynności i żadna nie robi po cichu tego, co inna:

„Usuń wszystkie dane" czyści telefon, nie serwer. Kasuje lokalną bazę i rozłącza trenerów, ale kopia posiłków, nawodnienia, treningów i listy zakupów zostaje na naszym serwerze - a przy następnym uruchomieniu aplikacja może część tych rekordów pobrać z powrotem. Jeśli chcesz, żeby nie było ich u nas, usuń konto (ten sam ekran Ustawienia → Konto). Dopracujemy to tak, żeby jedno kasowanie oznaczało jedno kasowanie; do tego czasu piszemy, jak jest.

Usunięcie konta wymaga internetu - usuwa je serwer. Rozłączenie trenera bez zasięgu czeka w kolejce i kończy się po powrocie sieci; aplikacja to pokazuje.

Bez aplikacji (np. po odinstalowaniu): wejdź na https://triolife.app/usun-konto/ albo napisz z adresu przypisanego do konta na e-mail z sekcji 1 z tematem „Usunięcie konta Trio Life". Odpowiadamy w ciągu 7 dni, a konto usuwamy niezwłocznie po potwierdzeniu, że adres należy do Ciebie - najpóźniej w ciągu 30 dni od zgłoszenia. Gdy wiadomość przyjdzie z innego adresu, poprosimy o potwierdzenie z adresu konta, żeby nikt nie usunął cudzego konta.

Aplikacja wyłącza automatyczny backup Androida i wyklucza swoje pliki z kopii w chmurze i transferu między urządzeniami. Utrata telefonu oznacza utratę tego, co jest tylko w telefonie - dziennika i Mentalu, pomiarów, zdjęć, danych z zegarka, Twoich produktów i przepisów. Dlatego jest kopia danych (sekcja 17). Posiłki, nawodnienie, treningi i lista zakupów wracają z konta.

17. Kopia danych z telefonu

W Ustawienia → Prywatność i dane zapiszesz dane z telefonu do pliku JSON i wczytasz je z takiego pliku z powrotem.

• Co jest w pliku: posiłki i ich składniki, nawodnienie i własne napoje, treningi z seriami, własne ćwiczenia i plany, Twoje produkty, dania i przepisy, plan posiłków i szablony, pory posiłków, lista zakupów, mikroskładniki, pomiary ciała, ankieta celów, cele i przypomnienia, nawyki i ich odhaczenia, dzienne podsumowania z zegarka, ulubione, stan Twoich publikacji, a jeśli nie wyłączysz przełącznika - także dziennik i Mental (check-in, check-out, oceny dni, nastroje, wdzięczność, szybkie notatki), zgłoszenia objawów, flagi zdrowotne i metadane historii AI. Zakres to ostatnie dziesięć lat.
• Czego w pliku nie ma: zdjęć posiłków i przepisów (zostaje tylko informacja, że zdjęcie jest), hasła, tokenu sesji, połączeń z trenerem i relacji wspólnego gospodarstwa.
• Przełącznik „Dołącz dziennik" wyłącza z pliku dziennik i Mental, a razem z nimi zgłoszenia objawów, flagi zdrowotne i historię AI. Wyłącz go, jeśli plik ma trafić do kogoś innego. Nie da się dziś wyłączyć samego Mentalu, zostawiając reszcie dziennik - to jeden przełącznik na całość.
• Gdzie ląduje plik. Najpierw w prywatnym katalogu aplikacji. Przyciskiem „Zapisz poza aplikacją" otwierasz systemowe okno zapisu i wskazujesz dowolne miejsce - Pobrane, Dysk Google, załącznik. Od tej chwili plik jest poza aplikacją i poza naszym wpływem: kto ma do niego dostęp, zależy od miejsca, które wybrałeś. Plik nie jest zaszyfrowany i nie ma hasła - każdy, kto go otworzy, przeczyta go zwykłym edytorem tekstu. Nie wysyłamy go nigdzie sami i nie trafia na nasz serwer.
• Wczytanie działa z pliku z dowolnego miejsca w telefonie i tylko dodaje dane - nie nadpisuje tego, co już masz. Aplikacja przyjmuje wyłącznie plik w swoim formacie i nie większy niż 32 MB.

Dane konta (adres, sposób logowania, data założenia, Premium) widzisz na ekranie Ustawienia → Konto; pełną kopię tego, co o Twoim koncie jest na serwerze - w tym rekordy synchronizacji z sekcji 4a - wyślemy Ci w formacie JSON na prośbę mailem.

18. Bezpieczeństwo

• Połączenia z naszym serwerem, z Google i z Open Food Facts są szyfrowane (HTTPS); maile wychodzą szyfrowanym połączeniem.
• Tokeny sesji i linki logowania trzymamy w bazie wyłącznie jako skróty (SHA-256), kody logowania - jako skróty z solą i sekretem serwera, adres IP - tylko jako skrót kryptograficzny. Token zakupu Google Play jest zapisany w postaci potrzebnej do sprawdzenia go w Google i nie wraca w żadnej odpowiedzi ani w panelu.
• Token sesji w telefonie leży w magazynie chronionym przez Android Keystore.
• Treści pytań do AI i danych o zdrowiu nie zapisujemy w logach. Logi aplikacji serwera zawierają tylko metodę i ścieżkę żądania, bez adresu IP i bez parametrów zapytania.
• Trener widzi wyłącznie swoje połączenia. Panele administracji i moderacji wpuszczają tylko konta z listy administratorów zalogowane kodem z maila, a lista kont z adresami wymaga logowania sprzed najwyżej 12 godzin.
• Ze zdjęć publikowanych we wspólnej bazie serwer usuwa metadane przed zapisem.
• Migawka i czat nie są szyfrowane end-to-end - leżą w bazie na serwerze w postaci, którą serwer potrafi odczytać, dopóki trwa połączenie.
• Rekordy synchronizacji (sekcja 4a) też nie są szyfrowane end-to-end. Posiłki, nawodnienie, treningi i lista zakupów leżą w bazie w postaci, którą serwer potrafi odczytać - inaczej nie dałoby się ich oddać Twojemu drugiemu telefonowi. Serwer oddaje je tylko sesji tego konta, a hasła odzyskać nie umiemy, ale techniczny dostęp do bazy ma administrator.
• To samo dotyczy kopii we wspólnym gospodarstwie - przesłanej listy zakupów i przesłanego planu posiłków. Leżą w bazie czytelnie, bo serwer musi je oddać drugiemu telefonowi. Oddaje je tylko dwóm stronom tej relacji, a cofnięcie dostępu kasuje je od razu (sekcja 4a).
• Dane w telefonie chroni izolacja aplikacji w Androidzie. Zabezpiecz telefon blokadą ekranu i aktualnym systemem.

Jeśli dojdzie do naruszenia, które może zagrażać Twoim prawom, zgłosimy je Prezesowi UODO w ciągu 72 godzin, a Ciebie powiadomimy, gdy ryzyko będzie wysokie.

19. Uprawnienia, biblioteki i powiadomienia

Zdjęcia wybierasz systemowym oknem wyboru - aplikacja nie ma dostępu do całej galerii. Odmowa dowolnego uprawnienia wyłącza tylko funkcję, która go potrzebuje.

Biblioteki, które łączą się z siecią: Google Mobile Ads z biblioteką zgód Google (reklamy, sekcja 6), Google Play Billing (Premium), Google ML Kit (odczyt kodów i tekstu, sekcja 9). Aplikacja nie zawiera logowania przez Google ani Facebooka, własnej analityki ani narzędzi do raportów o awariach.

Powiadomienia

Przypomnienia są domyślnie wyłączone. Pokazują wyłącznie stałą zachętę - nigdy treści dziennika, wyników ani liczb, bo powiadomienie widać na ekranie blokady. Godziny przypomnień są zapisane tylko w telefonie.

20. Dzieci i wiek

Trio Life jest dla osób od 16 lat. Korzystanie z aplikacji wymaga konta, a w Polsce 16 lat to wiek, od którego można samodzielnie zgodzić się na przetwarzanie danych w usługach internetowych (art. 8 RODO). Aplikacja nie jest kierowana do dzieci. Nie zbieramy świadomie danych osób poniżej 16 lat - jeśli dowiemy się o takim koncie, usuniemy je. Planer celów ma dodatkowe ograniczenia dla osób poniżej 18 lat.

21. Twoje prawa

Masz prawo:

• dostępu do danych i ich kopii (art. 15) - dane konta na ekranie konta, pełną kopię na prośbę mailem;
• sprostowania (art. 16) - adresu e-mail nie zmienisz w aplikacji: napisz do nas albo zaloguj się nowym adresem i usuń stare konto (subskrypcję przypniesz do nowego konta przyciskiem „Przywróć zakupy");
• usunięcia (art. 17) - sekcja 16;
• ograniczenia przetwarzania (art. 18);
• przenoszenia (art. 20) - kopia danych z telefonu (sekcja 17) i dane konta razem z rekordami synchronizacji w formacie JSON na prośbę;
• sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu (art. 21) - dotyczy ochrony logowania, logów i reklam niedopasowanych;
• wycofania zgody w każdej chwili (art. 7 ust. 3): rozłączenie trenera, rezygnacja z analizy, zmiana decyzji w „Ustawieniach prywatności reklam", wycofanie publikacji. Wycofanie nie zmienia zgodności z prawem tego, co działo się wcześniej;
• skargi do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl.

Danych, które zostają wyłącznie w telefonie (sekcja 3), nie widzimy - dostęp, kopię i usunięcie realizujesz tam bezpośrednio w aplikacji. Do rekordów synchronizacji z sekcji 4a mamy dostęp my: ich kopię wyślemy na prośbę mailem, a usuwasz je, usuwając wpis albo konto (sekcja 16). We wszystkich pozostałych sprawach pisz na adres z sekcji 1.

22. Informacja dla trenerów i dietetyków

Jeśli korzystasz z panelu trenera, przetwarzamy: Twój adres e-mail (tożsamość w panelu), nazwę, którą podajesz, kody dla podopiecznych (ważne 90 dni) i liczbę przyznanych miejsc, jednorazowe linki logowania (ważne 15 minut, jako skróty) i sesje panelu (7 dni, jako skróty), treść Twoich wiadomości i wysłane plany. Podstawa: art. 6 ust. 1 lit. b (usługa) i lit. f (bezpieczeństwo). Linki i sesje usuwamy po terminie przy codziennym sprzątaniu; wiadomości i plany - razem z połączeniem (sekcja 7); kody i miejsca przechowujemy, dopóki korzystasz z panelu, a usuwamy je na Twoją prośbę mailem. Twój adres e-mail i nazwę widzi podopieczny, który wpisuje Twój kod.

Dane podopiecznych, które widzisz w panelu, są danymi o zdrowiu. Korzystasz z nich tylko w ramach usługi dla tego podopiecznego i nie przekazujesz ich dalej.

23. Charakter produktu

Trio Life jest narzędziem wellness i samoorganizacji. Nie diagnozuje, nie leczy i nie zastępuje konsultacji z lekarzem, dietetykiem ani trenerem. Liczby, które pokazuje - w tym zapotrzebowanie kaloryczne i odpowiedzi AI - są oszacowaniem na podstawie tego, co sam wpisałeś. Plany od trenera są zaleceniami tej osoby, nie aplikacji.

24. Zmiany polityki

Każda zmiana dostaje nową datę wejścia w życie i akapit „Co się zmieniło". Jeśli zmienia się sposób przetwarzania danych, dowiesz się o tym w aplikacji przed użyciem nowej funkcji, a tam, gdzie potrzebna jest zgoda - poprosimy o nią ponownie.